搜索

[20953] 2017-11-29_MHTML协议的安全

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-11-29_MHTML协议的安全 M H T M L 协 议 的 安 全 L e m o n S e c   2 0 1 7 - 1 1 - 2 9 2 0 1 1 年 初 ， 微 软 爆 出 了 一 个 0 d a y 漏 洞 ， 该 漏 洞 存 在 于 M H T M L 中 ， 影 响 所 有 W i n d o w s 平 台 ， 包 括 W i n d o w s   X P 、 V i s t a 、 W i n d o w s   7 和 所 有 版 本 的 W i n d o w s   S e r v e r 。 问 题 是 由 于 M H T M L 协 议 处 理 器 解 释 M I M E 格 式 请 求 文 档 中 内 容 块 的 方 式 造 成 的 ， 远 程 攻 击 者 可 利 用 此 漏 洞 将 任 意 脚 本 代 码 注 入 到 用 户 的 浏 览 器 中 ， 以 此 获 取 敏 感 信 息 和 执 行 任 意 代 码 。 网 友 暗 夜 潜 风 已 经 详 细 描 述 了 该 漏 洞 的 各 种 利 用 方 法 ， 大 家 可 以 参 考 著 名 安 全 组 织 幻 影 的 第 五 期 《 P h 4 n t 0 m   W e b z i n e 》 电 子 杂 志 ， 文 章 名 为 《 I E 下 M H T M L 协 议 带 来 的 跨 域 危 害 》 。 首 先 ， 我 们 来 看 看 什 么 是 M H T M L 。 M H T M L 是 M I M E   H T M L   （ M u l t i p u r p o s e   I n t e r n e t   M a i l   E x t e n s i o n   H T M L ） 的 缩 写 ， 是 由 R F C   2 5 5 7 定 义 的 把 一 个 多 媒 体 页 面 的 所 有 内 容 都 保 存 到 同 一 个 文 档 的 解 决 方 案 。 这 个 方 案 是 由 微 软 提 出 的 并 从 I E   5 . 0 开 始 实 施 ， 默 认 安 装 的 W i n d o w 系 统 都 带 有 M H T M L 协 议 处 理 程 序 （ M H T M L   P r o t o c o l   H a n d l e r ） 。 在 I E 浏 览 器 中 ， 当 嵌 入 资 源 的 U R L 的 协 议 为 M H T M L   时 ， I E 将 调 用 M H T M L 协 议 处 理 程 序 把 该 资 源 当 作 M H T M L 格 式 文 件 进 行 解 析 处 理 。 M H T M L 的 协 议 访 问 格 式 为 ： m h t m l :   [ M h t m l _ F i l e _ U r l ] ! [ O r i g i n a l _ R e s o u r c e _ U r l ] O r i g i n a l _ R e s o u r c e _ U r l 从 消 息 体 的 C o n t e n t - L o c a t i o n 处 获 得 ， 如 果 O r i g i n a l _ R e s o u r c e _ U r l 不 能 从 M h t m l _ F i l e _ U r l 中 获 取 ， I E 就 会 尝 试 下 载 O r i g i n a l _ R e s o u r c e _ U r l 并 返 回 下 载 内 容 。 网 友 暗 夜 潜 风 的 文 章 着 重 针 对 I E   M H T M L 协 议 的 跨 域 漏 洞 进 行 测 试 和 描 述 ， 很 少 提 到 我 们 更 关 注 的 X S S ， 下 面 简 单 举 例 说 明 。 新 建 一 个 H T M L 文 件 ， 如 d e m o . h t m l ， 输 入 以 下 代 码 ： C o n t e n t - T y p e :   m u l t i p a r t / r e l a t e d ;   b o u n d a r y = " _ b o u n d a r y _ b y _ m e r e " - - _ b o u n d a r y _ b y _ m e r e C o n t e n t - L o c a t i o n : d e m o C o n t e n t - T r a n s f e r - E n c o d i n g : b a s e 6 4 P H N j c m l w d D 5 h b G V y d C g i W F N T I i k 8 L 3 N j c m l w d D 4 = - - _ b o u n d a r y _ b y _ m e r e - - 直 接 用 I E 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / d e m o . h t m l ， 返 回 的 效 果 如 图 所 示 。 访 问 M H T M L 格 式 文 件 为 了 让 I E 调 用 M H T M L   P r o t o c o l   H a n d l e r 将 该 资 源 当 作 M H T M L 格 式 文 件 解 析 处 理 ， 需 要 把 U R L 修 改 为   M H T M L 协 议 ： 在 h t t p 前 面 加 上 “ m h t m l : ” 字 样 ， 后 面 加 上 “ ! d e m o ” 字 样 ， 即 ： m h t m l : h t t p : / / 1 2 7 . 0 . 0 . 1 / d e m o . h t m l ! d e m o 然 后 ， 使 用 I E 浏 览 器 访 问 该 链 接 。 此 时 页 面 弹 出 一 个 X S S 对 话 框 ， 如 图 7 - 1 7 所 示 ， 由 此 证 明 利 用 M H T M L 协 议 可 以 执 行 跨 站 脚 本 。
利 用 M H T M L 协 议 进 行 X S S 在 上 述 示 例 中 ， M H T M L 协 议 处 理 程 序 会 根 据 d e m o . h t m l 中 的 C o n t e n t - L o c a t i o n 值 （ d e m o ） 找 到 对 应 的 数 据 块 ， 再 根 据 C o n t e n t - T r a n s f e r - E n c o d i n g 值 对 以 下 数 据 解 码 ： P H N j c m l w d D 5 h b G V y d C g i W F N T I i k 8 L 3 N j c m l w d D 4 = 解 码 后 的 内 容 为 ： < s c r i p t > a l e r t ( " X S S " ) < / s c r i p t > 最 后 用 I E 直 接 解 析 并 执 行 脚 本 。 此 外 ， 我 们 还 可 以 结 合 上 一 节 介 绍 过 的 C R L F （ 回 车 换 行 ） 来 实 现 X S S 。 先 编 写 一 段 P H P 脚 本 ： < ? p h p e c h o   $ _ G E T [ k ] ; ? > 该 脚 本 用 于 在 页 面 输 出 由 U R L 传 递 过 来 的 k 的 参 数 值 ， 然 后 构 造 一 个 特 殊 的 U R L ， 通 过 M H T M L 协 议 注 入 脚 本 代 码 ， 如 下 所 示 ： m h t m l : h t t p : / / 1 2 7 . 0 . 0 . 1 / t e s t . p h p ? k = a x % 2 5 0 A C o n t e n t - T y p e % 2 5 3 A m u l t i p a r t % 2 5 2 f r e l a t e d % 2 5 3 B b o u n d a r y % 2 5 3 D x - - x % 2 5 0 A C o n t e n t - L o c a t i o n % 2 5 3 A X S S % 2 5 0 A C o n t e n t - T r a n s f e r - E n c o d i n g % 2 5 3 A b a s e 6 4 % 2 5 0 d % 2 5 0 a % 2 5 0 d % 2 5 0 a P H N j c m l w d D 5 h b G V y d C g n e H N z J y k 8 L 3 N j c m l w d D 4 % 2 5 2 b % 2 5 3 D - - ! X S S 接 着 ， 使 用 I E 访 问 该 链 接 ， 成 功 触 发 了 X S S 。 这 里 需 要 注 意 的 是 ， W i n d o w s   X P 系 统 下 M H T M L 协 议 中 的 百 分 号 需 要 两 次 e n c o d e 才 生 效 ， 也 就 是 % 要 转 为 % 2 5 ， 这 样 U R L 传 递 参 数 后 的 % 才 会 被 识 别 。 在 W i n d o w s   7 下 没 有 这 个 问 题 。 微 软 的 M H T M L 漏 洞 导 致 众 多 网 站 出 现 了 安 全 问 题 ， 比 如 G o o g l e   B O O K 搜 索 处 的 X S S 通 过 M H T M L 协 议 注 入 脚 本 代 码 并 运 行 ， 在 乌 云 （ h t t p : / / w w w . w o o y u n . o r g / ） 上 也 有 公 布 ， 相 关 利 用 代 码 如 下 ： m h t m l : h t t p : / / w w w . g o o g l e . c o m / b o o k s ? q = x % 2 5 0 A C o n t e n t - T y p e % 2 5 3 A m u l t i p a r t % 2 5 2 f r e l a t e d % 2 5 3 B b o u n d a r y % 2 5 3 D x - - x % 2 5 0 A C o n t e n t - L o c a t i o n % 2 5 3 A a j a x % 2 5 0 A C o n t e n t - T r a n s f e r - E n c o d i n g % 2 5 3 A b a s e 6 4 % 2 5 0 d % 2 5 0 a % 2 5 0 d % 2 5 0 a P H N j c m l w d D 5 h b G V y d C g i b 2 s i K T s 8 L 3 N j c m l w d D 4 % 2 5 3 D - - x % 2 5 0 A ! a j a x G o o g l e   B O O K 的 X S S 豆 瓣 网 当 时 也 出 现 M H T M L 协 议 代 码 注 射 问 题 ， X S S   E x p l i o t 如 下 ： m h t m l : h t t p : / / w w w . d o u b a n . c o m / s e a r c h ? s e a r c h _ t e x t = a x % 2 5 0 A C o n t e n t - T y p e % 2 5 3 A m u l t i p a r t % 2 5 2 f r e l a t e d % 2 5 3 B b o u n d a r y % 2 5 3 D x - - x % 2 5 0 A C o n t e n t - L o c a t i o n % 2 5 3 A 8 0 s e c % 2 5 0 A C o n t e n t - T r a n s f e r - E n c o d i n g % 2 5 3 A b a s e 6 4 % 2 5 0 d % 2 5 0 a % 2 5 0 d % 2 5 0 a P H N j c m l w d D 5 h b G V y d C g n e H N z J y k 8 L 3 N j c m l w d D 4 % 2 5 2 b % 2 5 3 D - - ! 8 0 s e c
防 御 基 于 M H T M L 协 议 的 X S S 的 方 法 很 简 单 ， 只 要 对 可 能 回 显 的 参 数 进 行 限 制 或 者 字 符 过 滤 即 可 。 ①   参 数 长 度 限 制 。 因 为 M H T M L 有 固 定 的 格 式 ， 只 有 长 度 满 足 ， 才 能 构 造 这 样 的 条 件 。 ②   字 符 过 滤 。 过 滤 字 符 串 中 的 % 0 d % 0 a ， 即 回 车 换 行 字 符 ， 使 之 无 法 满 足 M T H M L 协 议 的 格 式 要 求 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理