搜索

[13940] 2019-04-02_SharePoint邮件通知服务中的XSS漏洞

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-04-02_SharePoint邮件通知服务中的XSS漏洞 S h a r e P o i n t 邮 件 通 知 服 务 中 的 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 4 - 0 2 跨 站 脚 本 漏 洞 （ 跨 站 脚 本 漏 洞 （ X S S ） 近 年 来 一 直 是 ） 近 年 来 一 直 是   O W A S P 的 的 T o p   1 0   经 典 攻 击 方 式 ， 能 在 野 外 发 现 经 典 攻 击 方 式 ， 能 在 野 外 发 现 X S S 漏 洞 也 是 相 当 不 错 的 漏 洞 也 是 相 当 不 错 的 了 ， 尤 其 是 在 一 些 知 名 的 网 络 产 品 中 。 近 期 ， 美 国 了 ， 尤 其 是 在 一 些 知 名 的 网 络 产 品 中 。 近 期 ， 美 国 T a r g e t 安 全 团 队 就 在 一 次 渗 透 测 试 过 程 中 ， 发 现 了 微 软 在 线 安 全 团 队 就 在 一 次 渗 透 测 试 过 程 中 ， 发 现 了 微 软 在 线 服 务 产 品 服 务 产 品 S h a r e P o i n t 的 一 个 的 一 个 X S S 独 特 漏 洞 ， 无 需 任 何 用 户 交 互 行 为 ， 就 可 实 现 攻 击 利 用 ， 以 下 是 独 特 漏 洞 ， 无 需 任 何 用 户 交 互 行 为 ， 就 可 实 现 攻 击 利 用 ， 以 下 是 T a r g e t 团 队 的 团 队 的 分 享 。 分 享 。 * * S h a r e P o i n t 介 绍 介 绍 * * S h a r e P o i n t 属 于 微 软   O f f i c e   3 6 5 的 旗 下 产 品 服 务 ， 可 以 作 为 企 业 和 团 队 协 作 工 作 平 台 ， 它 能 提 供 包 含 O u t l o o k 、 E x c e l 、 W o r d 和 其 它 微 软 系 列 产 品 的 在 线 w e b 接 口 门 户 服 务 （ P o r t a l ） ， 够 无 缝 连 接 到 用 户 、 团 队 和 企 业 知 识 库 。 利 用 S h a r e P o i n t 集 成 的 w e b 门 户 服 务 ， 可 使 得 端 到 端 的 合 作 更 为 容 易 ， 实 现 了 个 人 、 团 队 和 信 息 的 整 合 、 组 织 和 搜 索 。 S h a r e P o i n t 的 w e b 门 户 服 务 可 以 通 过 浏 览 器 方 式 通 知 用 户 接 收 新 邮 件 、 L y n c 通 信 和 S k y p e 消 息 以 及 要 开 会 议 。 然 而 ， 就 是 S h a r e P o i n t 的 这 种 通 知 服 务 ， 使 得 恶 意 攻 击 者 可 以 利 用 T a r g e t 安 全 团 队 发 现 的 漏 洞 ， 通 过 发 送 邮 件 形 式 就 能 向 受 害 者 浏 览 器 中 注 入 恶 意 代 码 ， 无 需 用 户 交 互 ， 自 动 实 现 X S S 攻 击 。 漏 洞 发 现 漏 洞 发 现 在 一 次 对 基 于 S h a r e P o i n t 集 成 的 应 用 程 序 渗 透 测 试 中 ， 我 们 偶 然 发 现 了 该 漏 洞 。 在 测 试 某 个 功 能 点 时 ， 我 们 用 目 标 测 试 应 用 向 测 试 账 号 发 送 了 一 封 包 含 有 跨 站 脚 本 P a y l o a d 的 通 知 邮 件 ， 不 一 会 儿 ， 测 试 账 号 登 录 的 S h a r e P o i n t 会 话 环 境 中 就 会 跳 出 了 以 下 X S S 窗 口 ：
经 过 分 析 ， 我 们 发 现 ， 这 种 集 成 的 S h a r e P o i n t 服 务 架 构 中 ， 客 户 端 浏 览 器 每 隔 一 分 钟 就 会 向 以 下 U R L 链 接 发 起 一 次 G E T 请 求 ， 去 探 测 新 邮 件 等 消 息 ， 以 便 为 用 户 进 行 实 时 信 息 更 新 。 h t t p s : / / o u t l o o k . o f f i c e 3 6 5 . c o m / o w a / e v . o w a 2 ? n s = P e n d i n g R e q u e s t & e v = P e n d i n g N o t i f i c a t i o n R e q u e s t & U A = 0 & c i d = [ c i d ] & X - S u i t e S e r v i c e P r o x y O r i g i n = h t t p s : / / [ c o m p a n y ] . s h a r e p o i n t . c o m   另 外 ， 如 果 客 户 端 用 户 有 新 邮 件 进 来 ， S h a r e P o i n t 服 务 器 会 以 J S O N 数 据 格 式 对 用 户 作 出 通 知 响 应 ， 这 种 通 知 响 应 是 集 成 在 用 户 的 S h a r e P o i n t 页 面 中 的 。 以 下 为 通 知 响 应 消 息 格 式 ： 其 中 ， P r e v i e w T e x t 参 数 中 包 含 了 邮 件 内 容 ， 但 却 无 法 有 效 过 滤 掉 一 些 如 <   >   /   的 危 险 符 号 。 虽 然 S h a r e P o i n t 对 单 引 号   ’ 和 双 引 号   ”   都 进 行 了 恰 当 的 编 码 转 义 ， 但 却 未 对 反 引 号   h e l l o ` ) * * 的 以 下 邮 件 通 知 消 息 就 可 能 成 功 执 行 ： 注 意 ， 上 述 X S S   P a y l o a d 闭 合 了 s c r i p t 标 签 ， 能 成 功 执 行 X S S 语 句 ： 漏 洞 利 用 漏 洞 利 用 该 漏 洞 可 在 多 种 场 景 下 被 利 用 ， 以 下 是 我 们 创 建 的 一 个 P o C 攻 击 场 景 ： 1 、 攻 击 者 通 过 缩 小 代 码 和 变 换 字 体 颜 色 的 方 式 ， 构 造 了 一 封 看 似 无 害 的 恶 意 邮 件 发 送 给 受 害 者 ， 注 意 其 中 嵌 入 的 恶 意 代 码 ： H T T P / 1 . 1   2 0 0   O K [ T R U N C A T E D ] < s c r i p t > [ { " _ _ t y p e " : " N e w M a i l N o t i f i c a t i o n P a y l o a d : # E x c h a n g e " , " i d " : " N e w M a i l N o t i f i c a t i o n " , " S e n d e r " : " S e n d e r I n f o r m a t i o n " , " S u b j e c t " : " E m a i l   S u b j e c t " , " P r e v i e w T e x t " : " P r e v i e w   T e x t " , " I t e m I d " : " [ i t e m I D ] " , " C o n v e r s a t i o n I d " : " [ c o n v e r s a t i o n I D ] " , " I s C l u t t e r " : f a l s e , " S e n d e r S m t p E m a i l A d d r e s s " : " j o h n d o e @ e x a m p l e . c o m " , " I n f e r e n c e C l a s s i f i c a t i o n " : " F o c u s e d " , " E v e n t T y p e " : " 0 " } ] < / s c r i p t > 进 行 转 义 ， 所 以 基 于 此 ， 包 含 有 X S S   P a y l o a d   * * < / s c r i p t > < s c r i p t > a l e r t ( < s c r i p t > [ { " _ _ t y p e " : " N e w M a i l N o t i f i c a t i o n P a y l o a d : # E x c h a n g e " , " i d " : " N e w M a i l N o t i f i c a t i o n " , " S e n d e r " : " S e n d e r I n f o r m a t i o n " , " S u b j e c t " : " E m a i l   S u b j e c t " , " P r e v i e w T e x t " : " < / s c r i p t > < s c r i p t > a l e r t ( ` h e l l o ` ) < / s c r i p t > " , " I t e m I d " : " [ i t e m I D ] " , " C o n v e r s a t i o n I d " : " [ c o n v e r s a t i o n I D ] " , " I s C l u t t e r " : f a l s e , " S e n d e r S m t p E m a i l A d d r e s s " : " j o h n d o e @ e x a m p l e . c o m " , " I n f e r e n c e C l a s s i f i c a t i o n " : " F o c u s e d " , " E v e n t T y p e " : " 0 " } ] < / s c r i p t >
2 、 如 果 受 害 者 在 收 到 上 述 邮 件 时 处 于 S h a r e P o i n t   服 务 登 录 状 态 ， 那 么 ， 当 收 到 这 封 邮 件 后 ， 受 害 者 后 台 的 S h a r e P o i n t 邮 件 通 知 服 务 就 会 加 载 P a y l o a d ， 跳 出 我 们 伪 造 的 “ 会 话 过 期 需 要 重 新 登 录 （ S e s s i o n   e x p i r e d ， P l e a s e   l o g   i n       a g a i n ） ” 的 提 示 ， 如 下 ： 3 、 最 终 ， 受 害 者 点 击 O K 后 ， X S S   P a y l o a d 会 跳 转 到 攻 击 者 托 管 控 制 的 网 站 上 去 ， 迷 惑 受 害 者 输 入 用 户 名 密 码 进 行 重 新 登 录 ， 从 而 窃 取 用 户 密 钥 凭 据 信 息 。
对 漏 洞 的 成 功 利 用 ， 只 需 要 受 害 者 处 于 S h a r e P o i n t 登 录 服 务 状 态 ， 能 正 常 接 收 邮 件 ， 而 且 ， 值 得 注 意 的 是 ， 受 害 者 无 需 真 正 去 执 行 打 开 邮 件 的 操 作 ， 仅 完 全 由 S h a r e P o i n t 的 邮 件 通 知 服 务 来 触 发 P a y l o a d 即 可 实 现 攻 击 。 总 结 总 结 T a r g e t 安 全 团 队 在 漏 洞 发 现 后 及 时 向 微 软 进 行 了 上 报 ， 并 附 上 了 上 述 P o C 验 证 攻 击 细 节 和 攻 击 具 体 环 境 要 求 。 不 久 之 后 ， 微 软 回 复 称 漏 洞 已 经 修 复 ， 他 们 在 其 中 调 整 了 某 个 序 列 化 程 序 使 其 能 正 确 合 理 地 编 码 转 义 敏 感 字 符 ， 能 有 效 阻 止 X S S 攻 击 在 S h a r e P o i n t 应 用 通 知 服 务 中 的 再 次 发 生 。 * 参 考 来 源 ： 参 考 来 源 ： t a r g e t ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理