搜索

[14363] 2019-07-18_微软OutlookforAndroid移动应用的XSS漏洞分析

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2019-07-18_微软OutlookforAndroid移动应用的XSS漏洞分析 微 软 O u t l o o k   f o r   A n d r o i d 移 动 应 用 的 X S S 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 1 9 - 0 7 - 1 8 今 天 分 享 的 今 天 分 享 的 W r i t e u p 是 关 于 是 关 于 O u t l o o k   f o r   A n d r i o d 的 存 储 型 的 存 储 型 X S S 漏 洞 ， 作 者 通 过 朋 友 发 来 的 技 术 邮 件 偶 然 发 现 了 该 漏 洞 ， 历 经 漏 洞 ， 作 者 通 过 朋 友 发 来 的 技 术 邮 件 偶 然 发 现 了 该 漏 洞 ， 历 经 长 达 几 个 月 的 复 现 构 造 ， 最 终 微 软 承 认 了 该 漏 洞 （ 长 达 几 个 月 的 复 现 构 造 ， 最 终 微 软 承 认 了 该 漏 洞 （ C V E - 2 0 1 9 - 1 1 0 5 ） 。 ） 。 漏 洞 发 现 原 因 漏 洞 发 现 原 因 2 0 1 8 年 底 的 时 候 ， 我 一 个 朋 友 发 邮 件 请 我 帮 忙 分 析 他 在 研 究 的 一 些 J a v a S c r i p t 代 码 ， 虽 然 我 不 做 漏 洞 挖 掘 ， 但 他 发 过 来 的 邮 件 在 我 的 手 机 上 显 示 出 了 一 些 奇 怪 的 东 西 。 我 手 机 是 安 卓 系 统 ， 以 下 是 隐 去 发 件 人 信 息 的 邮 件 显 示 截 图 ： 那 个 灰 色 边 框 ， 越 看 越 有 点 奇 葩 。 当 我 分 析 后 发 现 。 这 可 能 是 其 中 J a v a S c r i p t 包 含 了 一 个 H T M L 形 式 的 i f r a m e 框 架 ， 该 i f r a m e 框 架 在 解 析 时 ， 手 机 应 用 无 法 正 常 显 示 呈 现 。 但 可 疑 的 是 ， 当 我 用 笔 记 本 电 脑 打 开 邮 件 时 ， 整 个 解 析 都 是 正 常 的 ， 如 下 所 示 ：
这 让 我 觉 得 是 一 个 问 题 ： 在 邮 件 中 嵌 入 i f r a m e 框 架 可 能 会 是 一 个 漏 洞 ， 这 可 能 和 我 手 机 上 的 O u t l o o k 应 用 有 关 。 就 O u t l o o k 来 说 ， 比 较 扯 的 是 ， i f r a m e 框 架 不 受 阻 止 外 部 图 像 设 置 的 B l o c k E x t e r n a l I m a g e s 影 响 ， 但 是 ， 如 果 攻 击 者 有 能 力 在 邮 件 中 植 入 可 运 行 的 J a v a S c r i p t 代 码 ， 那 将 会 是 一 个 危 险 的 安 全 威 胁 。 B l o c k E x t e r n a l I m a g e s ： O u t l o o k   f o r   i O S / A n d r i o d 中 的 安 全 设 置 ， B l o c k E x t e r n a l I m a g e s 设 置 为 t r u e 时 将 启 用 阻 止 外 部 图 像 。 有 鉴 于 此 ， 为 了 验 证 我 的 猜 测 ， 我 尝 试 在 电 子 邮 件 中 插 入 脚 本 标 签 t a g 去 代 替 i f r a m e 框 架 ， 但 是 不 行 。 然 而 ， 我 发 现 ， 可 以 通 过 在 i f r a m e 框 架 中 使 用 J a v a S c r i p t   U R L ， 就 能 构 造 出 一 种 绕 过 这 种 限 制 的 方 法 ， 这 就 非 常 有 意 思 了 。 通 过 电 子 邮 件 实 现 的 存 储 型 通 过 电 子 邮 件 实 现 的 存 储 型 X S S （ （ S t o r e d   X S S ） ） 通 常 ， 在 一 个 W e b 浏 览 器 中 ， 可 以 通 过 j a v a s c r i p t : 这 样 的 语 法 形 式 来 调 用 一 个 U R L ， 但 是 由 于 同 源 策 略 限 制 ， 单 独 域 下 的 i f r a m e 框 架 中 的 J a v a S c r i p t 是 不 能 对 页 面 中 的 其 它 数 据 进 行 访 问 获 取 的 。 在 O u t l o o k   f o r   A n d r i o d 应 用 中 ， 却 不 存 在 这 样 的 限 制 ， 我 构 造 的 i f r a m e 框 架 中 的 J a v a S c r i p t 可 以 对 我 的 用 户 c o o k i e 、 t o k e n 甚 至 其 它 邮 件 发 起 访 问 ， 不 仅 如 此 ， 还 能 把 这 些 信 息 发 回 给 攻 击 者 的 远 程 控 制 端 ， 汗 … … 。 这 种 安 全 问 题 相 当 可 怕 ， 要 实 现 漏 洞 利 用 ， 攻 击 者 只 需 发 送 一 封 包 含 有 经 过 构 造 的 J a v a S c r i p t 代 码 邮 件 给 受 害 者 ， 受 害 者 用 O u t l o o k 打 开 就 会 中 招 。 正 常 来 说 ， O u t l o o k 会 对 一 些 不 安 全 的 语 法 语 义 进 行 过 滤 转 义 ， 但 由 于 构 造 的 J a v a S c r i p t 代 码 处 于 i f r a m e 框 架 中 ， O u t l o o k 服 务 端 不 会 对 其 进 行 探 测 发 现 ， 所 以 当 邮 件 传 送 交 付 后 ， O u t l o o k 客 户 端 也 不 会 对 其 执 行 过 滤 转 义 ， 最 终 ， 包 含 在 i f r a m e 框 架 中 的 J a v a S c r i p t 就 能 在 客 户 端 手 机 设 备 上 成 功 运 行 了 。 这 也 就 是 我 们 所 说 的 存 储 型 X S S （ S t o r e d   X S S ） ， 这 种 类 型 漏 洞 的 风 险 隐 患 极 大 ， 攻 击 者 可 以 利 用 它 来 实 现 多 种 目 的 ， 包 括 窃 取 信 息 和 回 传 数 据 。 攻 击 者 只 需 向 受 害 者 发 送 一 封 构 造 好 的 邮 件 ， 当 受 害 者 阅 读 之 后 ， 就 能 窃 取 受 害 者 的 c o o k i e 、 其 它 邮 件 或 是 个 人 数 据 等 敏 感 信 息 。 严 重 点 说 ， 这 种 存 在 于 邮 件 阅 读 客 户 端 的 S t o r e d   X S S 可 经 武 器 化 分 发 部 署 ， 造 成 大 规 模 的 蠕 虫 或 恶 意 软 件 方 式 的 破 坏 感 染 。 漏 洞 上 报 后 的 复 现 历 程 漏 洞 上 报 后 的 复 现 历 程 我 觉 得 这 是 一 个 大 问 题 ， 急 需 让 微 软 方 面 知 晓 。 于 是 ， 针 对 该 漏 洞 ， 我 制 作 了 一 个 简 短 的 P o C ， 它 会 执 行 一 段 任 意 外 部 脚 本 去 窃 取 和 回 传 个 人 敏 感 信 息 ， 由 于 漏 洞 利 用 构 造 不 够 深 入 ， 其 中 没 有 太 多 对 邮 件 数 据 的 访 问 获 取 展 示 。 我 马 上 把 这 个 P o C 发 给 了 微 软 安 全 团 队 。 关 于 该 漏 洞 ， 我 确 实 不 知 道 引 发 漏 洞 的 源 代 码 出 在 哪 里 ， 因 为 我 自 己 就 没 有 O u t l o o k 程 序 源 码 ， 而 且 ， 我 基 本 没 有 调 试 移 动 应 用 的 经 验 ， 但 我 想 开 发 人 员 看 到 这 段 P o C 后 应 该 能 理 解 。 但 遗 憾 的 是 ， 微 软 安 全 团 队 却 复 现 不 了 该 漏 洞 ， 我 也 陷 入 了 难 堪 和 困 境 ， 但 这 明 显 是 真 的 啊 ， 我 又 向 微 软 安 全 团 队 发 了 一 段 我 这 边 漏 洞 复 现 的 视 频 ， 之 后 ， 我 了 解 到 有 一 名 安 全 研 究 人 员 也 上 报 了 该 漏 洞 ， 但 根 据 P O C ， 微 软 安 全 团 队 仍 然 没 成 功 复 现 。 为 了 证 实 是 否 是 O u t l o o k 设 置 存 在 差 异 导 致 的 原 因 ， 我 又 进 行 了 一 些 测 试 ， 但 也 没 发 现 问 题 所 在 ， 看 来 ， 这 个 漏 洞 要 凉 凉 了 。 微 软 ： 不 能 复 现 就 不 算 漏 洞 微 软 ： 不 能 复 现 就 不 算 漏 洞
每 个 安 全 工 程 师 和 开 发 人 员 都 会 告 诉 你 ， 不 能 重 现 的 b u g 是 一 个 令 人 头 痛 的 问 题 ， 他 们 的 时 间 对 企 业 来 说 是 宝 贵 而 有 限 的 资 源 。 厂 商 安 全 团 队 可 以 花 费 很 多 精 力 去 复 现 一 个 漏 洞 ， 最 终 的 推 理 会 是 ， 如 果 他 们 不 能 成 功 复 现 漏 洞 ， 那 么 攻 击 者 也 不 太 可 能 成 功 复 现 和 利 用 。 所 以 从 这 点 来 说 ， 厂 商 安 全 团 队 会 尽 量 把 责 任 推 卸 到 上 报 漏 洞 的 安 全 研 究 者 身 上 ， 他 们 希 望 的 是 尽 可 能 方 便 复 现 和 确 认 的 上 报 方 式 。 突 破 突 破 我 不 能 就 这 样 罢 休 ， 几 个 月 之 后 ， 这 个 漏 洞 仍 然 是 我 的 一 块 心 病 ， 如 何 能 让 微 软 安 全 团 队 得 以 确 认 是 一 个 难 点 。 为 此 ， 我 想 到 了 从 O u t l o o k 应 用 中 提 取 H T M L 加 载 内 容 的 方 法 ， 之 后 我 才 体 会 到 ， 这 种 提 取 方 式 可 能 就 是 漏 洞 本 身 的 问 题 吧 ！ 我 能 从 O u t l o o k 应 用 中 窃 取 数 据 ， 也 就 说 明 我 可 以 用 它 读 取 和 加 载 其 中 的 H T M L 内 容 。 于 是 ， 结 合 这 个 点 ， 我 构 造 了 一 个 新 的 P a y l o a d ， 有 了 如 下 执 行 效 果 ：

我 构 造 的 P a y l o a d 形 如 以 下 ： 该 P a y l o a d 在 O u t l o o k 服 务 端 会 被 转 义 为 H T M L 形 式 ， 但 在 O u t l o o k 客 户 端 ， 它 会 被 解 析 成 ： 漏 洞 出 在 客 户 端 的 代 码 解 析 中 ， P a y l o a d 中 的 电 话 号 码 t e l : + 4 4 2 3 3 0 最 终 会 被 形 成 可 点 击 按 钮 。 该 漏 洞 之 前 一 直 不 能 由 微 软 成 功 复 现 ， 是 因 为 我 把 我 手 机 中 的 本 地 化 设 置 为 了 U K ， 其 电 话 号 码 会 被 判 断 为 有 效 号 码 ， 而 其 它 样 式 的 本 地 化 设 置 ， 将 会 把 这 个 U K 号 码 识 别 为 无 效 号 码 ， 所 以 不 能 有 效 复 现 。 终 于 发 现 了 问 题 所 在 ， 我 把 P a y l o a d 中 的 电 话 设 置 成 了 U S 格 式 x x x - x x x - x x x x ， 它 支 持 多 种 地 区 化 设 置 下 的 漏 洞 复 现 ， 我 迅 速 地 向 微 软 安 全 团 队 上 报 了 P O C 。 2 0 1 9 年 3 月 2 6 日 ， 微 软 方 面 复 现 了 漏 洞 并 承 诺 在 9 0 天 内 进 行 修 复 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 1 2 . 1 0   –       向 微 软 漏 洞 初 报 2 0 1 9 . 1 . 1 6   –           微 软 不 能 成 功 复 现 漏 洞 2 0 1 9 . 3 . 2 6   –         我 向 微 软 发 送 了 通 用 P O C 2 0 1 9 . 3 . 2 6   –         微 软 成 功 复 现 2 0 1 9 . 6 . 2 0   –         漏 洞 修 复 总 结 总 结 2 0 1 9 年 6 月 2 0 日 ， 微 软 修 复 了 该 漏 洞 ， 并 分 配 了 编 号 C V E - 2 0 1 9 - 1 1 0 5 ， 威 胁 影 响 为 重 要 级 别 。 对 于 个 人 和 企 业 用 户 来 说 ， 保 持 应 用 软 件 的 及 时 更 新 非 常 重 要 ， 这 可 以 最 大 程 度 地 降 低 入 侵 攻 击 风 险 。 当 然 ， 作 为 研 究 者 来 说 ， 漏 洞 挖 掘 和 上 报 同 样 重 要 ， 这 可 以 帮 助 厂 商 修 补 漏 洞 ， 实 现 更 安 全 的 产 品 。 * 参 考 来 源 ： 参 考 来 源 ： f 5 ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 < i f r a m e   s r c = " j a v a s c r i p t : a l e r t ( w i n d o w .   t o p .   d o c u m e n t .   b o d y .   i n n e r H T M L + ' ' ) " s t y l e = " p o s i t i o n : a b s o l u t e ; l e f t : - 2 3 3 0 p x ; "   s r c = h < i f r a m e   s r c = " j a v a s c r i p t : a l e r t ( w i n d o w .   t o p .   d o c u m e n t .   b o d y .   i n n e r H T M L + ' ' ) " s t y l e = " p o s i t i o n : a b s o l u t e ; l e f t : < a   h r e f = ”   t e l : + 4 4 2 3 3 0 ” = ” ” > - 2 3 3 0 < / a > p x ; "   s r c = h < / i f r a m e >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理