搜索

[18850] 2018-05-15_DOC文件上传造成存储XSS

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-05-15_DOC文件上传造成存储XSS D O C 文 件 上 传 造 成 存 储 X S S c r h u a   h u a s e c   2 0 1 8 - 0 5 - 1 5 当 我 在 渗 透 测 试 遇 到 文 件 上 传 时 ， 我 们 们 采 取 的 思 路 往 往 是 上 传 w e b 服 务 器 可 用 的 脚 本 ， 然 后 反 向 s h e l l 。 但 是 ， 如 果 无 法 上 传 成 功 ， 我 们 可 以 试 试 上 传 一 个 h t m l 页 面 ， 让 我 们 的 客 户 端 执 行 j a v a s c r i p t 代 码 ， 造 成 X S S 攻 击 。 在 测 试 w e b 程 序 时 ， 我 发 现 经 过 身 份 验 证 的 用 户 可 以 上 传 文 件 进 行 索 赔 ， 并 且 这 个 上 传 操 作 允 许 我 们 上 传 d o c 文 件 再 用 户 上 传 一 个 文 件 之 后 ， 这 个 文 件 可 以 被 下 载 。 上 传 的 . d o c x 文 件 与 下 载 的 . d o c x   文 件 之 间 有 不 同 ， 这 意 味 着 服 务 器 对 文 件 进 行 了 操 作 。 虽 然 我 们 上 传 的 文 件 必 须 是 . d o c x ， 但 是 我 们 可 以 修 改 文 件 扩 展 名 ， 改 为 . h t m l 当 从 服 务 器 检 索 到 扩 展 名 为 . h t m l 的 文 件 时 ， C o n t e n t - T y p e 标 头 设 置 为 t e x t   /   h t m l 。 这 会 导 致 浏 览 器 尝 试 将 该 文 件 呈 现 为 H T M L 。
然 后 我 试 图 在 . d o c x 文 件 中 加 入 X S S 负 载 ， 由 于 文 件 类 型 是 压 缩 格 式 ， 因 此 我 需 要 找 到 . d o c c 文 件 中 的 一 个 区 域 ， 该 区 域 在 压 缩 过 程 中 不 会 被 修 改 ， 或 者 通 过 其 他 应 用 进 行 修 改 。 找 到 文 件 结 构 中 在 上 传 过 程 中 未 被 修 改 的 区 域 。 我 修 改 了 . d o c x 文 件 中 的 S e t t i n g s . x m l 的 文 件 名 。 将 文 件 夹 结 构 压 缩 为 . d o c x 后 ， 我 使 用 十 六 进 制 编 辑 器 覆 盖 文 件 名 中 的 一 些 字 节 以 插 入 J a v a S c r i p t 代 码 。 服 务 器 接 受 修 改 的 . d o c x 文 件 的 上 载 。 在 H T T P   P O S T 期 间 文 件 扩 展 名 被 修 改 为 . h t m l 。 请 求 该 文 件 时 ， H T M L 页 面 将 加 载 这 个 X S S   p a y l a o d 。
当 请 求 返 回 到 啊 浏 览 器 时 ， j s 代 码 执 行 ， 任 何 人 只 要 点 击 了 这 个 链 接 ， j s 代 码 都 会 在 他 的 浏 览 器 上 执 行 。 为 了 模 糊 这 种 攻 击 ， 攻 击 者 可 以 将 上 传 的 U R I 包 含 在 一 个 小 的 或 者 不 可 见 的 i f r a m e   中 ， 以 防 止 受 害 者 发 现 正 在 执 行 的 p a y l o a d 。 防 御 措 施 防 御 措 施 1 .   在 允 许 上 传 之 前 ， 在 服 务 器 端 验 证 文 件 扩 展 名 是 . d o c 或 . d o c x ， 不 允 许 上 传 其 他 类 型 。 2 .   不 要 让 用 户 控 制 C o n t e n t - T y p e 。 无 论 内 容 类 型 头 文 件 或 指 定 的 扩 展 名 中 指 定 了 什 么 ， 都 返 回 相 同 的 C o n t e n t - T y p e 。 3 .   控 制 文 件 下 载 时 发 生 的 情 况 。 添 加 响 应 头 ： “ C o n t e n t - D i s p o s i t i o n ： a t t a c h m e n t ” 以 防 止 文 件 在 浏 览 器 中 内 联 显 示 。 4 .   过 滤 掉 任 何 包 含 H T M L 标 签 的 上 传 。 由 于 . d o c x 是 一 个 压 缩 文 件 ， 即 使 在 文 档 体 中 包 含 H T M L 标 签 ， 它 们 也 不 应 该 存 在 于 原 始 数 据 中 。 翻 译 来 源 ： 翻 译 来 源 ： h t t p s : / / w w w . c o a l f i r e . c o m / S o l u t i o n s / C o a l f i r e - L a b s / T h e - C o a l f i r e - L A B S - B l o g / m a y - 2 0 1 8 / m i c r o s o f t - w o r d - d o c u m e n t - u p l o a d - t o - s t o r e d - x s s 小 小 总 结 小 小 总 结           这 篇 文 章 提 供 了 一 个 新 的 思 路 ， 如 果 反 向 s h e l l   操 作 不 成 ， 就 尝 试 下 X S S 。 这 里 是 笔 者 以 前 总 结 的 文 件 上 传 技 巧 。 有 需 自 取 。 N a N u n d e f i n e d a a H R 0 c H M 6 L y 9 w Y W 4 u Y m F p Z H U u Y 2 9 t L 3 M v M U J C O U t p U 1 8 t M G 5 o U n M z W j R 4 S F B Y a F E g N a N u n d e f i n e d a Z m h o e Q = =
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理