搜索

[13823] 2019-03-03_任意URL跳转漏洞修复与JDK中getHost()方法之间的坑

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2019-03-03_任意URL跳转漏洞修复与JDK中getHost()方法之间的坑 任 意 U R L 跳 转 漏 洞 修 复 与 J D K 中 g e t H o s t ( ) 方 法 之 间 的 坑 C h a n g e S   F r e e B u f   2 0 1 9 - 0 3 - 0 3 任 意 任 意   U R L   跳 转 漏 洞 跳 转 漏 洞 服 务 端 未 对 传 入 的 跳 转 服 务 端 未 对 传 入 的 跳 转   u r l   变 量 进 行 检 查 和 控 制 ， 导 致 可 恶 意 构 造 任 意 一 个 恶 意 地 址 ， 诱 导 用 户 跳 转 到 恶 意 网 变 量 进 行 检 查 和 控 制 ， 导 致 可 恶 意 构 造 任 意 一 个 恶 意 地 址 ， 诱 导 用 户 跳 转 到 恶 意 网 站 。 由 于 是 从 可 信 的 站 点 跳 转 出 去 的 ， 用 户 会 比 较 信 任 ， 所 以 跳 转 漏 洞 一 般 用 于 钓 鱼 攻 击 ， 通 过 转 到 恶 意 网 站 站 。 由 于 是 从 可 信 的 站 点 跳 转 出 去 的 ， 用 户 会 比 较 信 任 ， 所 以 跳 转 漏 洞 一 般 用 于 钓 鱼 攻 击 ， 通 过 转 到 恶 意 网 站 欺 骗 用 户 输 入 用 户 名 和 密 码 盗 取 用 户 信 息 ， 或 欺 骗 用 户 进 行 金 钱 交 易 。 欺 骗 用 户 输 入 用 户 名 和 密 码 盗 取 用 户 信 息 ， 或 欺 骗 用 户 进 行 金 钱 交 易 。 修 复 该 漏 洞 最 有 效 的 方 法 之 一 就 是 校 验 传 入 的 跳 转   u r l   参 数 值 ， 判 断 是 否 为 预 期 域 名 。 在   j a v a   中 可 使 用 下 列 方 法 ： 上 述 代 码 中 主 要 校 验 了 客 户 端 传 来 的   r e t u r n U r l   参 数 值 ， 使 用   j a v a . n e t . U R L   包 中 的   g e t H o s t ( )   方 法 获 取 了 将 要 跳 转   u r l 的   h o s t ， 判 断   h o s t   是 否 为 目 标 域 ， 上 述 代 码 中 限 制 了 必 须 跳 转 到   x x x . b b b . c o m   的 域 名 ， 从 而 排 除 了 跳 转 到 不 可 信 域 名 的 可 能 。 但 是 ， g e t H o s t ( )   方 法 真 的 靠 谱 吗 ？ ？ g e t H o s t ( )   方 法 的 坑 之 一 方 法 的 坑 之 一 可 以 被 反 斜 线 绕 过 ， 即   r e t u r n U r l = h t t p : / / w w w . a a a . c o m w w w . b b b . c o m 会 被 代 码 认 为 是 将 要 跳 转 到   b b b . c o m ， 而 实 际 在 浏 览 器 中 反 斜 线 被 纠 正 为 正 斜 线 ， 跳 转 到   w w w . a a a . c o m / w w w . b b b . c o m ， 最 终 还 是 跳 到   w w w . a a a . c o m   的 服 务 器 。 使 用 下 列 代 码 进 行 测 试 ： u r l   参 数 的 域 名   g e t H o s t ( )   之 后 是   w w w . a a a . c o m   还 是   w w w . b b b . c o m   呢 ？ 打 印 结 果 如 下 ： S t r i n g   u r l   =   r e q u e s t . g e t P a r a m e t e r ( " r e t u r n U r l " ) ; S t r i n g   h o s t   =   " " ; t r y   {         h o s t   =   n e w   U R L ( u r l ) . g e t H o s t ( ) ; }   c a t c h   ( M a l f o r m e d U R L E x c e p t i o n   e )   {         e . p r i n t S t a c k T r a c e ( ) ; } i f   h o s t . e n d s W i t h ( " . b b b . c o m " ) {         / / 跳 转 } e l s e {         / / 不 跳 转 ， 报 错 } p u b l i c   c l a s s   M a i n   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   {                 S t r i n g   u r l   =   " h t t p s : / / w w w . a a a . c o m w w w . b b b . c o m ? x = 1 2 3 " ;                 S t r i n g   h o s t   =   " " ;                 t r y   {                         h o s t   =   n e w   U R L ( u r l ) . g e t H o s t ( ) ;                 }   c a t c h   ( M a l f o r m e d U R L E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }                 S y s t e m . o u t . p r i n t l n ( " h o s t - - - " + h o s t ) ;                 S y s t e m . o u t . p r i n t l n ( " u r l - - - " + u r l ) ;         } }
该 结 果 会 被   e n d s W i t h ( " . b b b . c o m " )   方 法 判 断 为 真 ， 从 而 成 功 执 行 跳 转 ， 但 实 际 在 浏 览 器 中 跳 转 到 了   w w w . a a a . c o m   网 站 。 g e t H o s t ( )   方 法 的 坑 之 二 方 法 的 坑 之 二 g e t H o s t ( )   方 法 的 结 果 在 不 同   J D K   版 本 中 对 井 号   #   的 处 理 结 果 不 同 ， 通 常 井 号 被 用 作 页 面 锚 点 ， 对 于   h t t p s : / / w w w . a a a . c o m # w w w . b b b . c o m ? x = 1 2 3   这 个   u r l ， 较 高 版 本 的   J D K   中 ， 取 出 结 果 为   w w w . a a a . c o m ， 低 版 本 中 为   w w w . a a a . c o m # w w w . b b b . c o m ， 从 而 低 版 本 又 可 绕 过   e n d s W i t h ( " . b b b . c o m " )   方 法 ， 成 功 跳 转 。 这 里 所 说 的 高 版 本 指 的 是   j a v a   v e r s i o n   1 . 8 . 0 1 8 1   或 者   j a v a   v e r s i o n   1 . 7 . 0 1 6 1   中 的   1 8 1   和   1 6 1 ， 与   J D K 7   还 是   8   无 关 。 可 能   j a v a   在 某 个 时 间 集 中 修 复 了   J D K 6 / 7 / 8   中 的   U R L   库 。 测 试 过 程 中 发 现   1 . 6 . 0 4 5 ， 1 . 7 . 0 7 1 ， 1 . 8 . 0 _ 2 5   均 可 被   #   绕 过 ， 即 不 同 的   J D K   中 低 版 本 均 存 在 问 题 。 通 过 对 比   r t . j a r - - - j a v a - - - n e t - - U R L S t r e a m H a n d l e r . j a v a   代 码 （ 低 版 本 为 左 边 ， 高 版 本 为 右 边 ） 找 到 问 题 所 在 如 下 图 所 示 ， 代 码 中 的   s t a r t   为   u r l   中 冒 号 位 置 ， l i m i t   为   u r l   中 井 号 位 置 ： 从 代 码 中 可 以 发 现 ， 低 版 本 中 未 考 虑 到 一 个 完 整   u r l   中 斜 线 / 或 者 问 号 ？ 之 前 会 出 现 井 号   #   的 情 况 ， 如 果   u r l   中 有 斜 线 / 或 者 问 号 ？ ， 取   h o s t   就 以 斜 线 或 者 问 号 为 终 止 ， 即 使 中 间 包 含 井 号 也 不 处 理 ； 而 高 版 本 中 进 行 了 井 号 位 置 的 判 断 ， 排 除 了 使 用 井 号 绕 过 的 可 能 。 但 是 线 上 生 成 环 境 的   J D K   版 本 又 不 是 敢 随 便 乱 升 级 的 ， 只 能 从 代 码 里 提 前 预 防 。 下 图 为 使 用 不 同 版 本   J D K   测 试 的 结 果 ： 同 一 段 代 码 在 不 同   J D K   版 本 中 打 印 出 的   h o s t   值 不 同 ， 在 低 版 本 中 包 含 了 井 号 及 其 后 边 的 部 分 。
综 合 上 述 两 个 坑 ， 若 想 使 用   g e t H o s t ( )   来 修 复 任 意   U R L   跳 转 漏 洞 ， 需 要 考 虑 到 反 斜 线 和 井 号 绕 过 ， 可 使 用 如 下 代 码 ： 附 送 一 个 真 实 例 子 附 送 一 个 真 实 例 子 该 站 可 使 用 井 号 配 合 斜 线 或 者 问 号 来 绕 过 域 名 检 测 ， 即 将   t a r g e t   设 置 为   U R L   编 码 后 的   h t t p s : / / w w w . b a i d u . c o m # w w w . b b b . c o m ? x = 1 2 3 ， 该 站 即 可   3 0 2   跳 转 到 百 度 。 * 本 文 作 者 ： 本 文 作 者 ： C h a n g e S ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 S t r i n g   u r l   =   r e q u e s t . g e t P a r a m e t e r ( " r e t u r n U r l " ) ; S t r i n g   h o s t   =   " " ; t r y   {         u r l   =   u r l . r e p l a c e A l l ( " [ # ] , " / " ) ;   / / 替 换 掉 反 斜 线 和 井 号         h o s t   =   n e w   U R L ( u r l ) . g e t H o s t ( ) ;     }   c a t c h   ( M a l f o r m e d U R L E x c e p t i o n   e )   {         e . p r i n t S t a c k T r a c e ( ) ; } i f   h o s t . e n d s W i t h ( " . b b b . c o m " ) {         / / 跳 转 } e l s e {         / / 不 跳 转 ， 报 错 }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理