搜索

[12768] 2018-05-31_上传Word文件形成存储型XSS路径

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-05-31_上传Word文件形成存储型XSS路径 上 传 W o r d 文 件 形 成 存 储 型 X S S 路 径 c l o u d s   F r e e B u f   2 0 1 8 - 0 5 - 3 1 在 渗 透 测 试 过 程 中 ， 每 当 看 到 目 标 测 试 网 站 存 在 上 传 功 能 时 ， 总 会 激 起 我 的 好 奇 心 。 如 果 能 够 走 运 的 话 ， 若 目 在 渗 透 测 试 过 程 中 ， 每 当 看 到 目 标 测 试 网 站 存 在 上 传 功 能 时 ， 总 会 激 起 我 的 好 奇 心 。 如 果 能 够 走 运 的 话 ， 若 目 标 网 站 服 务 器 是 标 网 站 服 务 器 是 P H P 或 或 A S P 架 构 ， 而 且 上 传 功 能 没 作 后 缀 过 滤 ， 这 样 就 能 导 致 可 以 直 接 上 传 反 弹 脚 本 形 成 控 架 构 ， 而 且 上 传 功 能 没 作 后 缀 过 滤 ， 这 样 就 能 导 致 可 以 直 接 上 传 反 弹 脚 本 形 成 控 制 。 如 果 这 招 行 不 通 ， 我 会 尝 试 上 传 一 个 制 。 如 果 这 招 行 不 通 ， 我 会 尝 试 上 传 一 个 H T M L 页 面 去 触 发 我 自 己 设 置 的 客 户 端 页 面 去 触 发 我 自 己 设 置 的 客 户 端 j a v a s c r i p t 脚 本 形 成 脚 本 形 成 X S S 攻 击 。 攻 击 。 本 文 我 就 分 享 一 个 上 传 本 文 我 就 分 享 一 个 上 传 d o c x 文 件 形 成 存 储 型 文 件 形 成 存 储 型 X S S 漏 洞 的 实 例 。 漏 洞 的 实 例 。 测 试 上 传 功 能 测 试 上 传 功 能 刚 好 在 某 次 W e b 测 试 工 作 中 ， 我 发 现 目 标 网 站 上 传 功 能 中 ， 用 一 个 未 授 权 用 户 即 可 上 传 自 己 的 文 件 ， 该 上 传 功 能 中 允 许 用 户 上 传 . d o c x 文 件 ： 当 把 这 种 . d o c x 文 件 上 传 之 后 ， 它 还 能 被 下 载 。 通 过 比 较 发 现 ， 上 传 成 功 的 文 件 u p l o a d e d . d o c x 和 服 务 器 上 其 对 应 的 可 下 载 文 件 d o w n l o a d e d . d o c x 之 间 存 在 着 一 些 不 同 ， 也 就 是 说 ， 文 件 上 传 成 功 之 后 ， 在 提 供 下 载 之 前 ， 服 务 器 会 对 这 个 上 传 文 件 进 行 一 些 处 理 操 作 ， 之 后 ， 再 提 供 下 载 。
用 来 上 传 的 文 件 必 须 是 一 个 有 效 的 . d o c x 文 件 ， 那 基 于 浏 览 器 的 解 析 显 示 来 说 ， 它 可 能 会 把 它 转 换 为 h t m l 格 式 来 显 示 ， 那 我 能 不 能 把 它 后 缀 作 个 更 改 呢 ？ 所 以 我 先 来 试 试 在 P O S T 请 求 中 把 . d o c x 后 缀 更 改 为 . h t m l 看 看 ： 当 这 个 . h t m l 文 件 上 传 之 后 ， 向 服 务 器 请 求 这 个 文 件 后 ， 服 务 器 会 把 其 C o n t e n t - T y p e 头 默 认 为 t e x t / h t m l ， 这 样 的 话 ， 浏 览 器 会 把 这 个 文 件 解 析 为 H T M L 执 行 ： 插 入 插 入 X S S   P a y l o a d 这 样 ， 我 就 想 到 了 把 X S S   P a y l o a d 捆 绑 到 一 个 像 下 图 这 样 的 . d o c x 压 缩 文 件 中 去 。 由 于 这 是 . d o c x 经 直 接 把 后 缀 更 改 为 . z i p 的 压 缩 格 式 文 件 包 样 例 ， 我 需 要 确 定 在 上 传 或 W e b 解 析 过 程 中 某 些 不 会 被 转 储 更 改 的 区 域 ， 最 后 ， 我 发 现 了 这 种 d o c x 变 z i p 压 缩 格 式 包 中 的 某 些 文 件 路 径 会 保 持 原 样 ， 像 下 图 这 样 ， 我 把 其 中 的 S e t t i n g s . x m l 文 件 名 加 上 了 一 长 串 字 母 好 待 区 分 。 之 后 ， 再 把 这 个 z i p 格 式 后 缀 还 原 为 d o c x 格 式 ， 用 U I t r a E d i t 查 看 h e x 代 码 ， 再 在 保 持 原 样 的 区 域 中 覆 盖 掉 一 些 字 节 ， 插 入 我 自 己 设 置 的 J a v a S c r i p t X S S 代 码 ：
上 传 时 ， 服 务 器 能 正 常 接 收 这 个 经 过 构 造 的 . d o c x 文 件 ， 在 H T T P   P O S T 过 程 中 ， 我 把 它 的 后 缀 更 改 为 . h t m l 后 缀 进 行 了 最 终 上 传 ： 向 服 务 器 请 求 这 个 文 件 时 ， 它 能 被 服 务 器 解 析 为 H T M L 文 件 ， 其 中 包 含 了 完 整 的 之 前 插 入 的 X S S   P a y l o a d 代 码 ： 当 然 浏 览 器 解 析 之 后 ， 也 能 成 功 执 行 其 中 插 入 的 X S S   P a y l o a d ：
为 了 对 这 种 X S S 攻 击 进 行 混 淆 隐 蔽 ， 攻 击 者 可 以 在 其 中 加 入 一 个 包 含 U R I 统 一 资 源 标 识 符 的 隐 藏 i f r a m e 框 架 ， 能 对 受 害 者 产 生 迷 惑 效 果 ， 像 下 图 这 样 ： 防 护 措 施 防 护 措 施 这 样 的 效 果 对 于 开 发 者 来 说 应 该 采 取 以 下 手 段 来 进 行 限 制 。 文 件 上 传 之 前 ， 在 服 务 器 端 验 证 上 传 文 件 格 式 是 否 为 . d o c 或 . d o c x 有 效 格 式 ； 严 格 限 制 C o n t e n t - T y p e 头 ， 对 C o n t e n t - T y p e 头 或 特 定 后 缀 格 式 更 改 过 的 上 传 文 件 须 保 持 与 上 传 文 件 相 同 的 C o n t e n t - T y p e 头 信 息 ； 控 制 文 件 下 载 时 的 其 它 操 作 情 况 ， 添 加 响 应 标 头 : “ C o n t e n t - D i s p o s i t i o n :   a t t a c h m e n t ” ， 以 防 止 在 浏 览 器 中 内 嵌 显 示 文 件 ； 过 滤 掉 所 有 包 含 H T M L 标 签 的 上 传 ， 因 为 d o c x 可 经 压 缩 篡 改 其 中 包 含 的 H T M L 文 件 。 * 参 考 来 源 ： 参 考 来 源 ： c o a l f i r e ， ， F r e e B u f   小 编 小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理