谷歌安全研究员Tavis Ormandy发现暴雪游戏存在一个严重漏洞，攻击者利用该漏洞针对游戏玩家电脑可实现远程恶意代码执行。魔兽世界、守望先锋、暗黑破坏神3、炉石传说和星际争霸2等由暴雪娱乐公司创造的流行网络游戏，每月的在线亿人次。

　　如果要用网络浏览器在线玩暴雪游戏，用户需要在自己电脑系统中安装一个名为Blizzard Update Agent的客户端程序，利用它来运行HTTP协议和1120端口的JSON-RPC服务，以便执行命令安装、卸载、设置更改、更新和其他维护相关的选项动作。

　　Tavis Ormandy发现这个安装在玩家系统中的Blizzard Update Agent，存在一种名为DNS Rebinding(DNS重绑定)的漏洞，这种漏洞实现的攻击允许用任何网站充当外部服务器和玩家本地主机之间的中转桥梁。

　　当攻击者简单地创建了一个DNS入口，并把某个可控制的URL页面绑定了客户端IP 127.0.0.1之后，迷惑电脑玩家访问该构造的URL页面，在此过程中，DNS重绑定技术的利用导致DNS发起的请求破坏浏览器同源策略(SSO)，可使攻击者各客户端Blizzard Update Agent程序发起一些Java方式的执行命令。

　　尽管浏览器中运行的随机网站通常不能向自己以外的主机域名发起请求，但由于本地的Blizzard Update Agent服务不会验证客户端请求的主机名，也不会响应此类请求，所以导致了该漏洞的可利用。

　　通过上述信息可知，主机名在两个IP之间进行解析处理，但当DNS Response中的TTL字段足够短时，将不会从本地DNS缓存中读取，而是重新发起DNS请求，当两个IP绑定到同一主机名上后，浏览器就会认为该两个IP都来自同一源地址，由此突破同源策略实现攻击。以下为一个简单地PoC测试页面，它可以实现对Blizzard客户端的攻击，利用网络驱动或目标设定来在玩家浏览器中和系统中下载或安装恶意dll以及数据文件等。

　　Ormandy最初于去年12月向暴雪公司报告了该漏洞，并催促暴雪公司尽快制作补丁以免玩家电脑系统受到影响。但在初次沟通之后，暴雪公司却停止了对Ormandy的邮件回应，并偷偷地在客户端版本5996中加入了部分缓解措施。

　　他们的解决方案似乎是查询客户端命令行，获取exename的32位FNV-1a哈希值，然后检查它是否在黑名单中，我建议他们把主机名列入白名单，但显然该解决方案过于简单。暴雪在不通知或咨询我的情况下就释出这个补丁，我非常不高兴。