搜索

[13297] 2018-10-14_IKEA.com本地文件包含漏洞之PDF解析的巧妙利用

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-10-14_IKEA.com本地文件包含漏洞之PDF解析的巧妙利用 I K E A . c o m 本 地 文 件 包 含 漏 洞 之 P D F 解 析 的 巧 妙 利 用 s e c i s t   F r e e B u f   2 0 1 8 - 1 0 - 1 4 背 景 背 景 本 地 文 件 包 含 （ 本 地 文 件 包 含 （ L F I ） 漏 洞 是 一 种 危 害 性 较 大 的 漏 洞 类 型 。 一 旦 出 现 攻 击 者 将 可 能 利 用 其 ， 读 取 文 件 源 码 或 敏 ） 漏 洞 是 一 种 危 害 性 较 大 的 漏 洞 类 型 。 一 旦 出 现 攻 击 者 将 可 能 利 用 其 ， 读 取 文 件 源 码 或 敏 感 信 息 ， 包 含 恶 意 文 件 ， 执 行 任 意 代 码 ， 甚 至 控 制 服 务 器 等 。 大 多 数 感 信 息 ， 包 含 恶 意 文 件 ， 执 行 任 意 代 码 ， 甚 至 控 制 服 务 器 等 。 大 多 数 L F I 攻 击 都 是 由 动 态 加 载 图 像 或 其 他 文 件 攻 击 都 是 由 动 态 加 载 图 像 或 其 他 文 件 的 代 码 引 起 的 。 如 果 请 求 的 文 件 名 或 路 径 未 做 正 确 验 证 ， 就 会 造 成 该 漏 洞 的 发 生 。 的 代 码 引 起 的 。 如 果 请 求 的 文 件 名 或 路 径 未 做 正 确 验 证 ， 就 会 造 成 该 漏 洞 的 发 生 。 I K E A . c o m 宜 家 是 世 界 上 最 强 大 的 品 牌 之 一 ； 在 福 布 斯 排 行 榜 中 为 前 5 0 名 。 毫 不 夸 张 的 说 ， 每 个 人 家 里 都 至 少 有 一 件 产 品 来 自 宜 家 ； 我 爱 I K E A ！ 你 呢 ？ 可 以 在 评 论 中 告 诉 我 你 最 喜 欢 的 宜 家 产 品 。 除 了 宜 家 的 产 品 外 ， 另 一 个 值 得 我 称 赞 的 地 方 就 是 ， 他 们 拥 有 大 量 且 设 计 合 理 的 网 站 和 应 用 程 序 。 为 了 更 好 的 用 户 体 验 ， 他 们 还 为 此 开 设 了 一 个 b u g 赏 金 计 划 ， 允 许 我 们 安 全 的 渗 透 测 试 他 们 的 平 台 并 发 布 ， 只 要 我 们 遵 守 漏 洞 披 露 规 则 。 下 面 ， 就 让 我 们 试 一 试 吧 ！ 寻 找 目 标 寻 找 目 标 大 多 数 时 候 我 都 是 从 枚 举 子 域 开 始 的 ， A q u a t o n e 是 我 最 常 用 的 一 款 枚 举 工 具 。 该 工 具 会 在 不 同 的 公 共 域 数 据 库 中 查 找 域 ， 并 返 回 活 动 子 域 列 表 ， 包 括 屏 幕 截 图 等 。 了 解 有 关 A q u a t o n e 的 更 多 信 息 ， 请 查 看 A p p l e . c o m 报 告 中 的 U n r e s t r i c t e d F i l e   U p l o a d （ 无 限 制 文 件 上 传 漏 洞 ） 。 B a t h r o o m   p l a n n e r 经 过 一 番 查 找 ， 其 中 一 个 B a t h r o o m p l a n n e r . I K E A . c o m 的 子 域 引 起 了 我 的 注 意 。 这 是 宜 家 提 供 的 一 个 在 线 规 划 工 具 ， 主 要 是 为 客 户 体 提 供 灵 感 和 现 成 的 浴 室 解 决 方 案 。 通 过 它 客 户 可 以 查 找 产 品 ， 并 将 其 添 加 到 自 己 的 浴 室 产 品 列 表 中 。 除 此 之 外 ， 还 可 以 通 过 电 子 邮 件 发 送 产 品 列 表 ， 或 以 P D F 格 式 下 载 至 本 地 保 存 。 生 成 的 P D F 文 件 包 含 一 些 文 本 和 产 品 图 片 信 息 。 如 下 ：
到 这 里 我 有 个 疑 问 ， 这 个 P D F 是 如 何 生 成 的 呢 ？ 让 我 们 打 开 b u r p 通 过 拦 截 浏 览 器 和 宜 家 服 务 器 之 间 的 流 量 来 一 探 究 竟 。 我 们 打 开 首 页 ， 并 尝 试 将 产 品 添 加 到 我 们 的 列 表 中 。 可 以 看 到 这 里 有 几 个 非 常 有 意 思 的 字 段 ：
d a t a ： 包 含 产 品 和 图 片 代 码 的 J S O N   b l o b ， 没 有 文 件 路 径 s h o p p i n g ： 包 含 我 们 产 品 列 表 的 J S O N   b l o b ， 没 有 文 件 路 径 p d f ： 一 长 串 字 符 ， 内 容 不 明 i m a g e s ： 一 些 b a s e 6 4 编 码 后 的 图 片 b a s e 6 4 解 码 解 码 当 你 看 到 一 长 串 字 符 时 ， 请 务 必 检 查 其 是 否 为 B a s e 6 4 编 码 的 字 符 串 。 B a s e 6 4 编 码 常 用 于 文 件 的 数 据 传 输 。 这 里 推 荐 大 家 一 个 在 线 的 b a s e 6 4 字 符 串 编 码 解 码 网 站 ： h t t p : / / d e c o d e b a s e 6 4 . c o m / 如 果 我 们 将 该 字 符 串 直 接 粘 贴 到 解 码 器 中 ， 你 会 发 现 解 码 出 错 ； 这 是 因 为 该 字 符 串 中 包 含 有 ％ 之 类 的 无 效 字 符 。 这 也 说 明 该 字 符 串 可 能 也 经 过 了 U R L 编 码 ， 所 以 在 B a s e 6 4 解 码 之 前 ， 我 们 先 进 行 U R L 解 码 。 同 样 ， 推 荐 大 家 一 个 在 线 的 U R L 解 码 和 编 码 网 站 ： h t t p s : / / m e y e r w e b . c o m / e r i c / t o o l s / d e n c o d e r / 进 行 U R L 解 码 后 ， 再 B a s e 6 4 解 码 我 们 将 得 到 以 下 字 符 串 ：
这 看 起 来 有 点 意 思 。 当 我 们 将 产 品 添 加 到 列 表 中 ， 它 会 为 宜 家 W e b 服 务 器 提 供 一 些 用 于 生 成 P D F 购 物 清 单 的 模 板 。 如 果 我 们 能 够 将 本 地 服 务 器 文 件 包 含 到 此 P D F 中 ， 会 发 生 什 么 ？   例 如 图 片 ？ 试 试 看 ， 我 将 添 加 到 了 该 模 板 ， 并 进 行 了 B a s e 6 4 和 U R L 编 码 ， 替 换 B u r p   S u i t e 中 的 p d f 参 数 并 F o r w a r d 。 长 话 短 说 ， 这 并 不 起 作 用 。 P D F 生 成 器 无 法 将 该 文 件 识 别 为 图 片 ， 并 且 不 会 在 输 出 中 解 析 它 … B 计 划 ： 识 别 计 划 ： 识 别 P D F 库 ， 搜 索 库 中 的 缺 陷 库 ， 搜 索 库 中 的 缺 陷 也 许 我 们 可 以 找 到 另 一 种 在 P D F 中 包 含 文 件 的 方 法 ？ 首 先 ， 我 们 要 弄 清 楚 的 是 生 成 P D F 的 工 具 是 什 么 ？ 我 们 可 以 通 过 G o o g l e 搜 索 模 板 中 的 一 些 独 特 字 符 串 来 得 到 答 案 。 搜 索 结 果 为 我 们 提 供 了 两 个 选 择 ， n o d e - h t m l - p d f 库 或 m P D F 库 。 在 快 速 浏 览 了 它 们 的 文 档 后 ， 最 终 我 确 定 在 该 项 目 中 使 用 的 为 m P D F 库 。 识 别 识 别 m P D F 中 的 安 全 问 题 中 的 安 全 问 题 我 们 立 刻 制 作 了 一 个 m P D F 的 本 地 副 本 ， 以 便 检 查 它 是 否 存 在 安 全 漏 洞 。 最 好 的 起 点 是 C H A N G E L O G ， 开 发 人 员 通 常 使 用 该 文 件 来 跟 踪 版 本 之 间 的 变 化 。
可 以 看 到 在 2 0 1 7 年 1 0 月 1 9 日 ， m P D F 改 变 了 他 们 处 理 注 释 标 签 的 方 式 。 因 此 ， 让 我 们 仔 细 查 看 文 档 中 的 该 标 签 。 这 里 并 没 有 提 及 任 何 文 件 包 含 的 相 关 内 容 。 让 我 们 再 次 G o o g l e 搜 索 ， 看 看 是 否 有 其 他 人 发 现 过 这 类 问 题 。 在 阅 读 了 h 0 n g 1 0 的 漏 洞 报 告 后 我 们 得 知 ， 在 旧 版 本 的 m P D F 存 在 严 重 的 安 全 问 题 ， 攻 击 者 能 够 通 过 注 释 标 记 包 含 文 件 。 仔 细 查 看 该 项 目 的 G i t h u b 提 交 后 ， 我 发 现 其 中 展 示 的 一 段 易 受 攻 击 的 m P D F 代 码 。 因 此 ， 我 们 可 以 更 改 P D F 的 模 板 尝 试 包 含 该 标 签 并 利 用 。 让 我 们 看 看 I K E A 是 否 忘 记 将 库 更 新 到 最 新 版 本 。
利 用 利 用 我 们 将 以 下 标 记 添 加 到 模 板 中 ： 使 用 B u r p   S u i t e   R e p e a t e r 发 送 新 模 板 并 下 载 P D F 文 件 。 然 后 用 F o x i t   R e a d e r 打 开 文 件 ， 并 寻 找 黄 颜 色 的 注 释 标 记 。 双 击 该 标 记 ， 我 们 就 能 打 开 并 查 看 服 务 器 上 的 文 件 啦 ！ 总 结 总 结 I K E A . c o m 允 许 用 户 在 购 物 清 单 导 出 过 程 中 操 纵 P D F 模 板 。 而 其 使 用 的 P D F 库 包 含 了 一 个 隐 藏 功 能 ， 即 允 许 通 过 在 模 板 中 添 加 特 定 标 记 将 文 件 嵌 入 到 P D F 中 。 该 功 能 已 在 其 最 新 版 本 中 禁 用 ， 而 I K E A 却 未 进 行 及 时 的 更 新 ， 因 此 才 导 致 了 安 全 问 题 的 发 生 。 修 复 建 议 修 复 建 议 绝 不 要 允 许 用 户 操 纵 P D F 模 板 < a n n o t a t i o n   f i l e = ” / e t c / p a s s w d ”   c o n t e n t = ” / e t c / p a s s w d ”   i c o n = ” G r a p h ”   t i t l e = ” A t t a c h e d   F i l e :   / e t c / p a s s w d ”   p o s - x = ” 1 9 5 ”   / >
在 客 户 端 渲 染 包 含 购 物 清 单 的 P D F ， 例 如 使 用 j s P D F 更 新 到 最 新 版 本 的 m P D F 库 ， 禁 用 注 释 代 码 报 告 时 间 线 报 告 时 间 线 2 0 1 8 . 6 . 1 6   发 现 此 漏 洞 ， 通 过 Z e r e c o p t e r 提 交 漏 洞 详 情 2 0 1 8 . 6 . 1 7   发 现 P D F 生 成 功 能 已 经 被 禁 用 （ 推 测 是 I K E A 通 过 I D S 发 现 我 们 获 取 到 了 敏 感 文 件 ） 2 0 1 8 . 6 . 1 8   Z e r o c o p t e r 无 法 确 认 漏 洞 是 否 存 在 （ 因 为 P D F 生 成 功 能 已 被 禁 用 ） ， 但 根 据 报 告 中 的 内 容 ， 将 这 一 漏 洞 情 况 通 知 I K E A 2 0 1 8 . 6 . 2 5   请 求 Z e r o c o p t e r 向 我 们 同 步 当 前 进 展 2 0 1 8 . 6 . 2 7   Z e r o c o p t e r 反 馈 ： I K E A 在 6 月 1 9 日 就 开 始 修 复 这 一 问 题 2 0 1 8 . 8 . 9   经 过 多 次 沟 通 ， 确 认 I K E A 已 修 复 这 一 漏 洞 2 0 1 8 . 8 . 1 3   Z e r o c o p t e r 建 议 我 在 公 开 漏 洞 详 情 时 ， 隐 去 I K E A 的 名 称 2 0 1 8 . 8 . 2 0   经 过 与 I K E A 团 队 的 反 复 沟 通 ， 要 求 按 照 “ 负 责 任 的 漏 洞 披 露 原 则 ” 进 行 漏 洞 详 情 公 开 2 0 1 8 . 9 . 1 1   获 得 Z e r o c o p t e r 的 2 5 0 欧 元 漏 洞 奖 励 2 0 1 8 . 9 . 1 7   在 多 次 协 商 沟 通 后 ， I K E A 终 于 对 “ 负 责 任 的 漏 洞 披 露 原 则 ” 进 行 了 正 确 理 解 ， 并 正 式 授 权 我 可 以 披 露 漏 洞 详 情 2 0 1 8 . 9 . 1 8   发 布 漏 洞 详 情 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理