搜索

[3511] 2017-02-03_2017如何入侵打印机？跨站打印（简称XSP）攻击+CORS欺诈【含POC】

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-02-03_2017如何入侵打印机？跨站打印（简称XSP）攻击+CORS欺诈【含POC】 2 0 1 7 如 何 入 侵 打 印 机 ？ 跨 站 打 印 （ 简 称 X S P ） 攻 击 + C O R S 欺 诈   【 含 P O C 】 原 创   E 安 全   E 安 全   2 0 1 7 - 0 2 - 0 3 来 自 鲁 尔 高 校 联 盟 的 一 组 研 究 人 员 已 经 在 历 史 悠 久 的 来 自 鲁 尔 高 校 联 盟 的 一 组 研 究 人 员 已 经 在 历 史 悠 久 的 P o s t S c r i p t 语 言 中 发 现 一 项 跨 站 打 印 语 言 中 发 现 一 项 跨 站 打 印 b u g E 安 全 2 月 3 日 讯   由 戴 尔 、 三 星 、 惠 普 、 兄 弟 B r o t h e r 、 柯 尼 卡 以 及 利 盟 L e x m a r k 等 知 名 制 造 商 推 出 的 多 款 高 人 气 机 型 受 到 安 全 漏 洞 影 响 ， 黑 客 能 够 利 用 此 项 漏 洞 窃 取 密 码 、 从 打 印 任 务 中 提 取 信 息 并 关 闭 对 应 设 备 。 这 一 发 现 源 自 鲁 尔 高 校 联 盟 的 一 组 研 究 人 员 ， 他 们 已 经 根 据 研 究 成 果 发 布 了 一 系 列 建 议 以 及 对 应 的 维 基 信 息 。 此 次 影 响 到 多 达 2 0 种 打 印 机 型 号 的 漏 洞 涉 及 几 类 常 见 打 印 语 言 ， 包 括 大 多 数 激 光 打 印 机 所 使 用 的 P o s t S c r i p t 与 P J L 。 此 漏 洞 并 非 新 鲜 事 物 ， 专 家 们 表 示 其 存 在 时 间 已 经 长 达 数 十 年 之 久 。 《 入 侵 打 印 机 》 系 列 6 条 建 议 中 的 第 2 条 指 出 ， “ 在 打 印 机 安 全 的 学 术 研 究 领 域 ， 已 经 发 现 多 种 存 在 于 网 络 打 印 机 与 M F P 当 中 的 安 全 漏 洞 。 这 篇 文 章 旨 在 探 讨 如 何 通 过 常 见 的 P o s t S c r i p t 或 者 P J L 类 打 印 任 务 — — 二 者 数 十 年 来 一 直 被 用 于 实 现 这 项 功 能 — — 以 访 问 打 印 机 文 件 系 统 。 相 关 攻 击 活 动 可 由 任 何 能 够 进 行 打 印 操 作 的 人 员 实 现 ， 例 如 通 过 U S B 或 者 网 络 进 行 打 印 操 作 。 此 操 作 甚 至 能 够 通 过 恶 意 网 站 实 现 ， 即 利 用 先 进 跨 站 点 打 印 结 合 所 谓 ‘ C O R S 欺 诈 ‘ 这 一 新 型 技 术 完 成 。 ( 详 见   h t t p : / / h a c k i n g - p r i n t e r s . n e t / w i k i / i n d e x . p h p / C r o s s - s i t e _ p r i n t i n g ) ” 研 究 人 员 们 还 发 布 了 一 款 名 为 P r i n t e r   E x p l o i t a t i o n   T o o l k i t （ 即 打 印 机 漏 洞 利 用 工 具 包 ， 简 称 P R E T ） 的 P y t h o n 概 念 验 证 应 用 ， 其 可 用 于 简 化 针 对 打 印 机 上 基 于 P o s t S c r i p t 及 P J L 文 件 系 统 的 访 问 流 程 。 这 款 工 具 能 够 通 过 网 络 或 者 U S B 接 口 接 入 打 印 机 ， 且 可 用 于 利 用 由 研 究 人 员 们 在 打 印 机 的 P o s t S c r i p t 或 P J L 语 言 中 发 现 的 安 全 漏 洞 。 “ 此 工 具 允 许 人 们 捕 捉 或 者 操 纵 打 印 任 务 ， 访 问 打 印 机 的 文 件 系 统 及 内 存 甚 至 导 致 对 应 设 备 发 生 物 理 性 损 坏 。 ” 发 布 于 G i t H u b 上 的 P R E T 在 描 述 中 指 出 ， “ 此 工 具 允 许 人 们 捕 捉 或 者 操 纵 打 印 任 务 ， 访 问 打 印 机 的 文 件 系 统 及 内 存 甚 至 导 致 对 应 设 备 发 生 物
理 性 损 坏 。 ” E 安 全 读 者 可 在 本 文 末 下 载 此 工 具 。 研 究 人 员 们 公 布 了 六 份 建 议 报 告 ， 其 中 涵 盖 多 种 相 关 问 题 ， 具 体 包 括 缓 冲 区 溢 出 、 密 码 泄 露 以 及 打 印 任 务 捕 捉 等 安 全 漏 洞 。 在 此 类 攻 击 活 动 中 ， 一 种 技 术 允 许 攻 击 者 访 问 打 印 机 的 文 件 系 统 。 此 方 法 利 用 跨 源 资 源 共 享 （ 简 称 C O R S ） 机 制 以 允 许 第 三 方 域 在 打 印 过 程 中 读 取 字 体 等 网 页 数 据 。 将 C O R S 欺 诈 与 跨 站 点 打 印 （ 简 称 X P S ） 相 结 合 ， 攻 击 者 们 能 够 利 用 其 通 过 “ 一 个 隐 藏 I f r a m e 向 受 害 者 内 部 网 络 中 打 印 机 的 端 口 9 1 0 0 / t c p 发 送 H T T P   P O S T 请 求 ” ， 从 而 实 现 W e b 类 攻 击 。 在 对 应 的 维 基 信 息 中 可 以 看 到 ， “ 跨 站 点 打 印 （ 简 称 X P S ） 攻 击 使 得 网 络 攻 击 者 能 够 利 用 一 个 隐 藏 I f r a m e 向 受 害 者 内 部 网 络 中 打 印 机 的 端 口 9 1 0 0 / t c p 发 送 H T T P   P O S T 请 求 ， 从 而 实 现 W e b 类 攻 击 。 该 H T T P 标 题 头 可 作 为 普 通 文 本 进 行 打 印 ， 或 者 基 于 打 印 机 的 设 置 被 禁 用 。 不 过 该 P O S T 数 据 中 可 包 含 任 意 打 印 任 务 ， 例 如 需 要 解 释 的 P o s t S c r i p t 或 者 P J L 命 令 。 ” 根 据 研 究 人 员 们 的 说 明 ， 其 能 够 通 过 修 改 P o s t S c r i p t 输 出 命 令 将 来 自 打 印 机 的 数 据 重 新 发 送 回 浏 览 器 。 维 基 信 息 继 续 介 绍 称 ， “ 通 过 使 用 P o s t S c r i p t 输 出 命 令 ， 我 们 能 够 轻 松 模 拟 一 套 运 行 在 端 口 9 1 0 0 / t c p 上 的 H T T P 服 务 器 ， 并 定 义 需 要 响 应 的 自 有 H T T P 标 题 头 — — 其 中 包 括 任 意 C R O S 访 问 - 控 制 - 允 许 - 原 始 字 段 ， 其 指 示 网 络 浏 览 器 允 许 J a v a S c r i p t 访 问 此 资 源 ， 这 意 味 着 浏 览 器 同 源 策 略 中 将 因 此 存 在 漏 洞 。 ” 以 下 为 J a v a S c r i p t 概 念 验 证 代 码 ： j o b   =   " x 1 B % - 1 2 3 4 5 X r n "         +   " % ! r n "         +   " ( H T T P / 1 . 0   2 0 0   O K n )   p r i n t r n "
        +   " ( S e r v e r :   P o s t S c r i p t   H T T P D n )   p r i n t r n "         +   " ( A c c e s s - C o n t r o l - A l l o w - O r i g i n :   * n )   p r i n t r n "         +   " ( C o n n e c t i o n :   c l o s e n )   p r i n t r n "         +   " ( C o n t e n t - L e n g t h :   )   p r i n t r n "         +   " p r o d u c t   d u p   l e n g t h   d u p   s t r i n g   c v s   p r i n t r n "         +   " ( n n )   p r i n t r n "         +   " p r i n t r n "         +   " ( n )   p r i n t   f l u s h r n "         +   " x 1 B % - 1 2 3 4 5 X r n " ; v a r   x   =   n e w   X M L H t t p R e q u e s t ( ) ; x . o p e n ( " P O S T " ,   " h t t p : / / p r i n t e r : 9 1 0 0 " ) ; x . s e n d ( j o b ) ; x . o n r e a d y s t a t e c h a n g e   =   f u n c t i o n ( )   {     i f   ( x . r e a d y S t a t e   = =   4 )         a l e r t ( x . r e s p o n s e T e x t ) ; } ; 跨 站 点 打 印 攻 击 的 局 限 性 跨 站 点 打 印 攻 击 的 局 限 性 需 要 注 意 的 是 ， P C L 作 为 页 面 描 述 语 言 并 不 可 用 于 实 现 C O R S 欺 诈 ， 这 是 因 为 其 仅 允 许 单 一 数 字 作 为 响 应 。 P J L 同 样 无 法 用 于 实 现 C O R S 欺 诈 ， 因 为 其 只 会 使 用 以 面 向 全 部 已 响 应 字 符 串 @ P J L   E C H O   ， 这 意 味 着 其 无 法 模 拟 一 条 有 效 的 H T T P 标 题 头 。 不 过 这 并 不 代 表 经 过 强 化 的 X S P 攻 击 仅 限 于 P o s t S c r i p t 任 务 之 内 ： P o s t S c r i p t 可 用 于 响 应 一 条 欺 诈 性 H T T P 标 题 头 ， 而 该 U E L 随 后 可 通 过 调 用 切 换 打 印 机 语 言 。 通 过 这 种 方 式 ， 网 络 攻 击 者 亦 能 够 在 P J L 命 令 中 包 含 对 应 结 果 。 这 里 我 们 需 要 提 及 两 种 现 有 陷 阱 实 现 方 式 ： 其 一 ， 准 备 一 条 正 确 的 数 据 C o n t e n t - L e n g t h   以 备 P o s t S c r i p t 进 行 确 定 。 如 果 攻 击 者 无 法 预 测 此 响 应 的 整 体 大 小 且 不 能 通 过 拆 分 编 码 的 方 式 解 决 ， 则 需 要 设 置 一 个 高 值 并 进 行 填 充 。 其 二 ， 添 加 C o n n e c t i o n :   c l o s e   标 题 头 字 段 非 常 重 要 ， 否 则 H T T P / 1 . 1 连 接 会 始 终 保 持 活 动 ， 直 到 网 络 客 户 端 或 者 打 印 机 设 备 触 发 超 时 ， 而 这 意 味 着 该 打 印 机 将 在 一 段 时 间 内 无 法 访 问 。 如 果 该 打 印 机 设 备 支 持 普 通 文 本 打 印 ， 则 X H R 的 H T T P 请 求 标 题 头 会 被 作 为 硬 拷 贝 进 行 打 印 — — 其 中 包 括 用 于 容 纳 调 用 恶 意 J a v a S c r i p t 之 U R L 的 O r i g i n 标 题 头 字 段 ， 这 意 味 着 攻 击 者 将 更 难 以 静 默 方 式 活 动 。 这 样 的 结 果 将 不 可 避 免 ， 因 为 我 们 并 不 具 备 对 该 打 印 机 的 控 制 权 — — 而 且 某 些 情 况 下 能 够 禁 用 打 印 功 能 — — 除 非 该 H T T P 本 体 得 到 处 理 且 其 H T T P 标 题 头 已 经 被 打 印 机 设 备 解 释 为 普 通 文 本 。 如 果 降 低 噪 声 对 于 攻 击 者 非 常 重 要 ， 则 其 可 以 尝 试 首 先 利 用 I P P 、 L P D 、 F T P 或 者 打 印 机 中 的 嵌 入 W e b 服 务 器 等 其 它 潜 在 X S P 通 道 在 P J L 任 务 媒 介 中 通 过 正 确 的 P J L 命 令 禁 用 打 印 功 能 。 另 外 ， 测 试 证 明 所 有 协 议 皆 可 通 过 如 上 所 述 方 式 利 用 跨 协 议 脚 本 变 种 成 功 实 现 打 印 任 务 部 署 。 但 除 了 无 法 利 用 欺 诈 C O R S 标 题 头 提 供 反 馈 之 外 ， 各 协 议 还 存 在 着 自 己 的 弊 端 ： 指 向 L P D 与 F T P 端 口 的 跨 协 议 访 问 会 被 多 种 网 络 浏 览 器 直 接 屏 蔽 。 用 于 在 嵌 入 式 W e b 服 务 器 上 实 现 直 接 打 印 的 参 数 只 在 特 定 机 型 上 有 效 。 I P P 标 准 要 求 H T T P   P O S T 请 求 的 C o n t e n t - t y p e   被 设 置 为 a p p l i c a t i o n / i p p   ， 而 这 一 点 无 法 通 过 X H R 对 象 实 现 — — 不 过 其 最 终 实 现 实 际 取 决 于 不 正 确 类 型 。 以 下 为 跨 站 点 打 印 通 道 间 的 比 较 结 果 ：
实 现 X S P 的 一 大 关 键 在 于 找 到 目 标 打 印 机 的 正 确 地 址 或 者 主 机 名 称 。 我 们 的 方 案 在 于 滥 用 大 多 数 现 代 浏 览 器 中 存 在 的 W e b R T C ， 其 能 够 将 枚 举 本 地 网 络 接 口 的 I P 地 址 。 拥 有 了 本 地 I P 地 址 ， X H R 对 象 随 后 即 可 用 于 开 启 指 向 其 余 全 部 2 5 3 个 地 址 的 端 口 9 1 0 0 / t c p 的 连 接 ， 从 而 利 用 P o s t S c r i p t 与 C O R S 欺 诈 检 索 打 印 机 的 产 品 名 称 。 根 据 我 们 的 测 试 ， 整 个 过 程 只 需 要 几 秒 钟 时 间 。 如 果 该 打 印 机 与 受 害 者 主 机 处 于 同 一 子 网 当 中 ， 则 其 地 址 可 利 用 J a v a S c r i p t 以 相 同 的 方 式 检 测 得 出 。   W e b R T C 目 前 在 S a f a r i 中 处 于 开 发 阶 段 ， 并 受 到 火 狐 、 C h r o m e 以 及 微 软 E d g e 等 浏 览 器 的 当 前 版 本 的 支 持 。 I E 浏 览 器 不 支 持 W e b R T C ， 但 V B S c r i p t 与 J a v a 能 够 以 类 似 的 方 式 被 用 于 泄 露 本 地 I P 地 址 。 如 果 无 法 检 索 该 本 地 接 口 地 址 ， 我 们 则 采 取 一 种 较 为 聪 明 的 暴 力 破 解 方 法 ： 我 们 尝 试 利 用 X H R 对 象 接 入 受 害 者 路 由 器 的 端 口 8 0 . 为 了 实 现 这 一 点 ， 我 们 列 出 了 一 份 来 自 互 联 网 的 访 问 资 源 列 表 ， 其 中 列 举 了 1 1 5 条 默 认 路 由 器 地 址 。 如 果 目 标 路 由 器 能 够 访 问 ， 我 们 则 会 扫 描 其 子 网 以 查 找 打 印 机 ， 之 后 的 步 骤 如 前 所 述 。 P O C 概 念 验 证 概 念 验 证 概 念 验 证 方 案 证 明 ， 先 进 跨 站 点 打 印 攻 击 活 动 具 备 可 行 性 ， 且 能 够 对 企 业 及 各 类 组 织 机 构 造 成 切 实 威 胁 。 其 具 体 实 现 方 式 参 阅 h a c k i n g - p r i n t e r s . n e t / x s p / 。 其 已 经 在 火 狐 4 8 、 C h r o m e   5 2 、 O p e r a   3 9 以 及 I E   1 0 中 得 到 成 功 验 证 。 需 要 指 出 的 是 ， T o r 浏 览 器 会 屏 蔽 该 攻 击 ， 因 为 其 会 尝 试 通 过 T o r 网 络 接 入 全 部 地 址 — — 包 括 本 地 地 址 — — 这 意 味 着 X S P 请 求 永 远 不 会 抵 达 内 网 打 印 机 处 。 相 关 工 具 相 关 工 具 打 印 机 漏 洞 利 用 工 具 包 ： h t t p s : / / g i t h u b . c o m / R U B - N D S / P R E T 跨 站 点 打 印 攻 击 P O C 验 证 ： h t t p : / / h a c k i n g - p r i n t e r s . n e t / x s p / 安 全 专 家 们 已 经 将 这 一 问 题 报 告 给 全 部 相 关 打 印 机 供 应 商 。 昨 日 头 条 ： 昨 日 头 条 ： 企 业 的 数 据 存 储 风 险   S S D 格 式 后 仍 会 造 成 数 据 泄 露 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理