搜索

[16466] 2021-02-21_SharePoint2019XSS漏洞CVE-2020-1456复现

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-02-21_SharePoint2019XSS漏洞CVE-2020-1456复现 S h a r e P o i n t   2 0 1 9   X S S 漏 洞 C V E - 2 0 2 0 - 1 4 5 6 复 现 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 2 1 写 在 前 面 的 话 写 在 前 面 的 话 在 这 篇 文 章 中 ， 我 们 将 分 析 S h a r e P o i n t   2 0 1 9 中 的 一 个 安 全 漏 洞 。 虽 然 这 个 漏 洞 不 是 一 个 典 型 的 J a v a S c r i p t   X S S ， 但 微 软 还 是 把 这 个 漏 洞 定 性 为 了 X S S 漏 洞 。 内 部 部 署 的 S h a r e P o i n t   2 0 1 9 服 务 器 支 持 实 现 的 用 户 配 置 选 项 将 允 许 经 过 身 份 验 证 的 用 户 上 传 图 片 ， 而 用 户 配 置 文 件 中 上 传 的 图 像 路 径 可 以 在 保 存 对 话 框 请 求 中 进 行 更 改 。 在 这 里 ， 我 们 就 可 以 向 其 中 插 入 任 意 链 接 ， 这 将 允 许 我 们 攻 击 任 何 访 问 嵌 入 了 用 户 个 人 资 料 图 片 页 面 的 用 户 。 由 于 S h a r e P o i n t 中 用 户 个 人 资 料 图 片 的 出 现 率 很 高 ， 因 此 可 能 会 导 致 多 种 攻 击 场 景 出 现 ， 比 如 说 D o S 、 用 户 跟 踪 和 攻 击 中 继 等 等 。 目 前 ， 该 漏 洞 被 归 类 为 了 跨 站 脚 本 漏 洞 （ X S S ） ， 分 配 的 漏 洞 编 号 为 C V E - 2 0 2 0 - 1 4 5 6 。 环 境 配 置 环 境 配 置 W i n d o w s   S e r v e r W i n d o w s   S e r v e r   2 0 1 9   E v a l u a t i o n 版 本 :   1 8 0 9 O S   b u i l d :   1 7 7 6 3 . 3 7 9 W i n d o w s 更 新 ： 0 9 / 0 9 / 2 0 1 9   1 2 : 1 3 P M 添 加 活 动 目 录 域 服 务 S Q L   S e r v e r 安 装 M S   S Q L   S e r v e r   2 0 1 7   E v a l u a t i o n   E d i t i o n 安 装 类 型 :   基 础 安 装 安 装 器 版 本 :   1 4 . 1 8 0 5 . 4 0 . 7 2 . 1 数 据 库 版 本 :   1 4 . 0 . 1 0 0 0 . 1 6 9 安 装 M i c r o s o f t   S Q L   S e r v e r   M a n a g e m e n t   S t u d i o   R e l e a s e   1 8 . 2 S h a r e P o i n t   2 0 1 9 S h a r e P o i n t   S e r v e r   2 0 1 9   ( 安 装 版 本 1 6 . 0 . 1 0 3 3 7 . 1 2 1 0 9 )
使 用 P a s s m a r k   O S F M o u n t   ( v 3 . 0 . 1 0 0 5 . 0 ) 将 I M G 文 件 存 储 为 I S O 以 S i n g l e - S e r v e r 模 式 安 装 S h a r e P o i n t 添 加 U s e r   P r o f i l e   S e r v i c e 应 用 程 序 漏 洞 评 级 漏 洞 评 级 漏 洞 类 别 ： 没 有 对 用 户 提 供 的 输 入 数 据 进 行 正 确 有 效 的 过 滤 。 C V S S   2 ： 评 分 6 . 5 （ 中 危 ） C V S S   3 . 1 ： 评 分 6 . 5 （ 中 危 ） 漏 洞 复 现 详 细 说 明 漏 洞 复 现 详 细 说 明 在 测 试 S h a r e P o i n t 应 用 程 序 的 过 程 中 ， 我 还 部 分 测 试 了 S h a r e P o i n t 本 身 。 在 启 用 了 用 户 配 置 文 件 的 S h a r e P o i n t 设 置 中 ， 每 个 用 户 都 可 以 上 传 用 户 个 人 图 片 。 上 传 图 片 后 ， 可 以 在 用 户 配 置 文 件 中 查 看 ， 然 后 最 终 接 受 图 片 并 永 久 保 存 更 改 ， 包 括 所 有 其 他 条 目 。 保 存 所 有 更 改 之 后 ， S h a r e P o i n t 会 执 行 一 个 P O S T 请 求 ， 并 给 用 户 显 示 更 改 情 况 ： h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 5 1 / _ l a y o u t s / 1 5 / E d i t P r o f i l e . a s p x ? U s e r S e t t i n g s P r o v i d e r = 2 3 4 b f 0 e d - 7 0 d b - 4 1 5 8 - a 3 3 2 - 4 d f d 6 8 3 b 4 1 4 8 & R e t u r n U r l = h t t p % 3 a % 2 f % 2 f 1 9 2 . 1 6 8 . 0 . 1 5 1 % 2 f P e r s o n . a s p x % 3 f a c c o u n t n a m e % 3 d % 3 C   s p a n % 2 0 s t y l e = % 2 2 b a c k g r o u n d - c o l o r : % 2 0 # f c b d 0 0 % 2 2 % 3 E p o i n t % 3 C / s p a n % 3 E % 2 5 5 C % 3 C s p a n % 2 0 s t y l e = % 2 2 b a c k g r o u n d - c o l o r : % 2 0 # f c b d 0 0 % 2 2 % 3 E s h a r e u s e r % 3 C / s p a n % 3 E & c h a n g e p h o t o = 1
该 请 求 还 会 包 含 下 列 参 数 ： 该 参 数 会 存 储 上 传 的 用 户 资 料 图 片 的 路 径 ， 并 对 U R L 进 行 编 码 ： U R L 编 码 的 参 数 和 值 如 下 所 示 ： c t l 0 0 $ P l a c e H o l d e r M a i n $ P r o f i l e E d i t o r E d i t P i c t u r e U R L
明 文 参 数 和 值 如 下 ： 我 们 可 以 拦 截 这 个 P O S T 请 求 ， 然 后 将 参 数 值 修 改 为 “ h t t p : / / 1 2 3 . i t s e c . d e / r a n d o m . p n g ” 。 因 为 服 务 器 接 受 了 用 户 提 供 的 输 入 ， 我 们 就 可 以 在 本 地 存 储 的 图 片 中 嵌 入 自 定 义 的 U R L 。 修 改 后 的 参 数 值 如 下 ： 插 入 的 U R L 已 经 嵌 入 其 中 ， 此 时 ， 这 个 链 接 提 供 的 是 一 个 大 小 为 1 G B 的 “ 图 片 文 件 ” 。 我 们 可 以 看 到 ， 浏 览 器 会 请 求 我 们 的 “ 图 片 文 件 ” 。 通 过 分 析 H T M L 中 - i m g 标 签 的 s r c 参 数 ， 我 们 可 以 直 接 在 网 页 的 源 代 码 中 识 别 嵌 入 的 链 接 。 c t l 0 0 % 2 4 P l a c e H o l d e r M a i n % 2 4 P r o f i l e E d i t o r E d i t P i c t u r e U R L = h t t p % 3 A % 2 F   % 2 F 1 9 2 . 1 6 8 . 0 . 1 5 1 % 3 A 8 0 % 2 F U s e r % 2 5 2 0 P h o t o s % 2 F P r o f i l b i l d e r % 2 F p o i n t _ s h a r e u s e r _ M t h u m b . j p g c t l 0 0 $ P l a c e H o l d e r M a i n $ P r o f i l e E d i t o r E d i t P i c t u r e U R L =   h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 5 1 : 8 0 / U s e r % 2 0 P h o t o s / P r o f i l b i l d e r / p o i n t _ s h a r e u s e r _ M t h u m b . j p g c t l 0 0 $ P l a c e H o l d e r M a i n $ P r o f i l e E d i t o r E d i t P i c t u r e U R L = h t t p : / / 1 2 3 . i t s e c . d e / r a n d o m . p n g
总 结 总 结 每 当 用 户 访 问 了 这 些 嵌 入 了 链 接 的 包 含 用 户 图 像 的 用 户 个 人 配 置 页 面 时 ， 浏 览 器 都 会 在 后 台 打 开 嵌 入 的 链 接 。 这 将 允 许 攻 击 者 跟 踪 目 标 用 户 ， 并 在 网 络 中 产 生 大 量 的 流 量 ， 或 诱 使 目 标 设 备 执 行 攻 击 者 所 想 要 的 攻 击 。 参 考 资 料 参 考 资 料 h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 2 0 - 1 4 5 6 h t t p s : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 2 0 - 1 4 5 6 h t t p s : / / i t - s e c . d e / g e r / A k t u e l l e s - T e r m i n e / i t . s e c - b l o g / i t . s e c - R e s e a r c h - T e a m - f i n d e t - u n b e k a n n t e - S c h w a c h s t e l l e - i n - M i c r o s o f t - O f f i c e - S h a r e P o i n t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理