搜索

[20848] 2017-08-10_CRLF注入原理和防御（转）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-08-10_CRLF注入原理和防御（转） C R L F 注 入 原 理 和 防 御 （ 转 ） L e m o n S e c   2 0 1 7 - 0 8 - 1 0 1 、 C R L F 的 意 思 就 是 回 车 ( C R ,   A S C I I   1 3 ,   r )   换 行 ( L F ,   A S C I I   1 0 ,   n ) 。 C R 、 L F 分 别 对 应 回 车 （ % 0 d ） 、 换 行 （ % 0 a ） 字 符 。 这 两 个 A C S I I 字 符 不 会 在 屏 幕 有 任 何 输 出 ， 但 在 W i n d o w s 中 广 泛 使 用 来 标 识 一 行 的 结 束 。 而 在 L i n u x / U N I X 系 统 中 只 有 换 行 符 。 C R 和 L F 组 合 在 一 起 即 C R L F 命 令 ， 它 表 示 键 盘 上 的 " E n t e r " 键 。 2 、 C R L F 注 入 在 H T T P 协 议 中 ， H T T P   H e a d e r 与 H T T P   B o d y 是 用 两 个 C R L F 分 隔 的 ， 浏 览 器 就 是 根 据 这 两 个 C R L F 来 取 出 H T T P   内 容 并 显 示 出 来 。 所 以 ， 一 旦 我 们 能 够 控 制 H T T P   消 息 头 中 的 字 符 ， 注 入 一 些 恶 意 的 换 行 ， 这 样 我 们 就 能 注 入 一 些 会 话 C o o k i e 或 者 H T M L 代 码 ， 所 以 C R L F   I n j e c t i o n 又 叫 H T T P   R e s p o n s e   S p l i t t i n g ， 简 称 H R S 。 H R S 是 比 X S S 危 害 更 大 的 安 全 问 题 ， 具 体 是 为 什 么 ， 我 们 往 下 看 。 对 于 H R S 最 简 单 的 利 用 方 式 是 注 入 两 个 r n ， 之 后 在 写 入 X S S 代 码 ， 来 构 造 一 个 x s s 。 类 似 这 样 头 部 信 息 H T T P / 1 . 1   3 0 2   M o v e d   T e m p o r a r i l y r n D a t e :   W e d ,   1   M a r   2 0 0 5   1 5 : 2 6 : 4 1   G M T r n L o c a t i o n :   h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 / i s n o . j s p ? l a n g = A l l y e s n o r n C o n t e n t - L e n g t h :   0 r n H T T P / 1 . 1   2 0 0   O K r n C o n t e n t - T y p e :   t e x t / h t m l r n C o n t e n t - L e n g t h :   2 4 r n C R L F 攻 击 实 例 ： 3 、 C R L F 注 入 实 例 举 个 例 子 ， 一 般 网 站 会 在 H T T P 头 中 用 L o c a t i o n :   h t t p : / / b a i d u . c o m 这 种 方 式 进 行 3 0 2 跳 转 ， 所 以 我 们 能 控 制 的 内 容 就 是 L o c a t i o n : 后 面 的 X X X 某 个 网 址 。 所 以 一 个 正 常 的 3 0 2 跳 转 包 是 这 样 ： H T T P / 1 . 1   3 0 2   M o v e d   T e m p o r a r i l y   D a t e :   F r i ,   2 7   J u n   2 0 1 4   1 7 : 5 2 : 1 7   G M T   C o n t e n t - T y p e :   t e x t / h t m l   C o n t e n t - L e n g t h :   1 5 4   C o n n e c t i o n :   c l o s e   L o c a t i o n :   h t t p : / / w w w . s i n a . c o m . c n 但 如 果 我 们 输 入 的 是 h t t p : / / w w w . s i n a . c o m . c n % 0 a S e t - c o o k i e : J S P S E S S I D % 3 D w o o y u n 注 入 了 一 个 换 行 ， 此 时 的 返 回 包 就 会 变 成 这 样 ：   H T T P / 1 . 1   3 0 2   M o v e d   T e m p o r a r i l y   D a t e :   F r i ,   2 7   J u n   2 0 1 4   1 7 : 5 2 : 1 7   G M T   C o n t e n t - T y p e :   t e x t / h t m l   C o n t e n t - L e n g t h :   1 5 4   C o n n e c t i o n :   c l o s e   L o c a t i o n :   h t t p : / / w w w . s i n a . c o m . c n   S e t - c o o k i e :   J S P S E S S I D = w o o y u n 这 个 时 候 这 样 我 们 就 给 访 问 者 设 置 了 一 个 S E S S I O N ， 造 成 一 个 “ 会 话 固 定 漏 洞 ” 。 当 然 ， H R S 并 不 仅 限 于 会 话 固 定 ， 通 过 注 入 两 个 C R L F 就 能 造 成 一 个 无 视 浏 览 器 F i l t e r 的 反 射 型 X S S 。 比 如 一 个 网 站 接 受 u r l 参 数 h t t p : / / t e s t . s i n a . c o m . c n / ? u r l = x x x ， x x x 放 在 L o c a t i o n 后 面 作 为 一 个 跳 转 。 如 果 我 们 输 入 的 是 h t t p : / / t e s t . s i n a . c o m . c n / ? u r l = % 0 d % 0 a % 0 d % 0 a < i m g   s r c = 1   o n e r r o r = a l e r t ( / x s s / ) > 我 们 的 返 回 包 就 会 变 成 这 样 ： H T T P / 1 . 1   3 0 2   M o v e d   T e m p o r a r i l y   D a t e :   F r i ,   2 7   J u n   2 0 1 4   1 7 : 5 2 : 1 7   G M T   C o n t e n t - T y p e :   t e x t / h t m l   C o n t e n t - L e n g t h :   1 5 4   C o n n e c t i o n :   c l o s e   L o c a t i o n : < i m g   s r c = 1   o n e r r o r = a l e r t ( / x s s / ) > 之 前 说 了 浏 览 器 会 根 据 第 一 个 C R L F 把 H T T P 包 分 成 头 和 体 ， 然 后 将 体 显 示 出 来 。 于 是 我 们 这 里 这 个 标 签 就 会 显 示 出 来 ， 造 成 一 个 X S S 。 为 什 么 说 是 无 视 浏 览 器 f i l t e r 的 ， 这 里 涉 及 到 另 一 个 问 题 。 浏 览 器 的 F i l t e r 是 浏 览 器 应 对 一 些 反 射 型 X S S 做 的 保 护 策 略 ， 当 u r l 中 含 有 X S S 相 关 特 征 的 时 候 就 会 过 滤 掉 不 显 示 在 页 面 中 ， 所 以 不 能 触 发 X S S 。 怎 样 才 能 关 掉 f i l t e r ？ 一 般 来 说 用 户 这 边 是 不 行 的 ， 只 有 数 据 包 中 h t t p 头 含 有 X - X S S - P r o t e c t i o n 并 且 值 为 0 的 时 候 ， 浏 览 器 才 不 会 开 启 f i l t e r 。 说 到 这 里 应 该 就 很 清 楚 了 ， H R S 不 正 是 注 入 H T T P 头 的 一 个 漏 洞 吗 ， 我 们 可 以 将 X - X S S - P r o t e c t i o n : 0 注 入 到 数 据 包 中 ， 再 用 两 个 C R L F 来 注 入 X S S 代 码 ， 这 样 就 成 功 地 绕 过 了 浏 览 器 f i l t e r ， 并 且 执 行 我 们 的 反 射 型 X S S 。 所 以 说 H R S 的 危 害 大 于 X S S ， 因 为 它 能 绕 过 一 般 X S S 所 绕 不 过 的 f i l t e r ， 并 能 产 生 会 话 固 定 漏 洞 。 我 们 来 一 个 真 实 案 例 吧 。   新 浪 某 分 站 含 有 一 个 u r l 跳 转 漏 洞 ， 危 害 并 不 大 ， 于 是 我 就 想 到 了 C R L F   I n j e c t i o n ， 当 我 测 试 h t t p : / / x x x . s i n a . c o m . c n / ? u r l = % 0 a % 0 d % 0 a % 0 d % 3 C i m g % 2 0 s r c = 1 % 3 E 的 时 候 ， 发 现 图 片 已 经 输 出 在 页 面 中 了 ， 说 明 C R L F 注 入 成 功 了 ：
那 么 我 们 试 试 X S S 看 看 ： 看 控 制 台 ， 果 然 被 X S S   F i l t e r 拦 截 了 。 那 么 我 们 就 注 入 一 个 X - X S S - P r o t e c t i o n : 0 到 数 据 包 中 ， 看 看 什 么 效 果 ： 还 有 一 个 是 利 用 字 符 编 码 来 绕 过 X S S   F i l t e r 的 方 法 ， 当 编 码 是 i s - 2 0 2 2 - k r 时 浏 览 器 会 忽 略 % 0 f ， 这 样 我 们 在 o n e r r o r 后 面 加 个 % 0 f 就 能 绕 过 f i l t e r ， 前 提 是 注 入 一 个 < m e t a   c h a r s e t = I S O - 2 0 2 2 - K R >   当 然 ， 在 L o c a t i o n : 这 里 注 入 只 有 w e b k i t 内 核 浏 览 器 才 能 够 利 用 ， 其 他 浏 览 器 可 能 会 跳 转 、 出 错 。 不 过 对 于 c h r o m e 的 使 用 量 来 说 ， 危 害 已 经 足 够 了 。 4 、 C R L F 防 御
方 案 1 .   限 制 用 户 输 入 的 C R 和 L F ， 或 者 对 C R 和 L F 字 符 正 确 编 码 后 再 输 出 ， 以 防 止 注 入 自 定 义 H T T P 头 。 方 案 2 .   查 看 ： H T T P 响 应 拆 分 漏 洞 ( C R L F 注 入 攻 击 漏 洞 )   解 决 办 法   （ 感 谢 “ 黄 克 业 ” 提 供 以 上 解 决 方 案 ） - P H P 语 言 的 解 决 方 案 ： 这 种 现 象 往 往 表 现 在 带 有 参 数 传 递 的 网 页 ， 只 要 合 理 的 过 滤 好 就 O K 啦 ， P H P 语 言 的 一 些 过 滤 方 法 : $ p o s t   =   t r i m ( $ p o s t ) ; $ p o s t   =   s t r i p _ t a g s ( $ p o s t , " " ) ;   / / 清 除 H T M L 等 代 码 $ p o s t   =   e r e g _ r e p l a c e ( " t " , " " , $ p o s t ) ;   / / 去 掉 制 表 符 号 $ p o s t   =   e r e g _ r e p l a c e ( " r n " , " " , $ p o s t ) ;   / / 去 掉 回 车 换 行 符 号 $ p o s t   =   e r e g _ r e p l a c e ( " r " , " " , $ p o s t ) ;   / / 去 掉 回 车 $ p o s t   =   e r e g _ r e p l a c e ( " n " , " " , $ p o s t ) ;   / / 去 掉 换 行 $ p o s t   =   e r e g _ r e p l a c e ( "   " , " " , $ p o s t ) ;   / / 去 掉 空 格 $ p o s t   =   e r e g _ r e p l a c e ( " ' " , " " , $ p o s t ) ;   / / 去 掉 单 引 号
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理