搜索

[7442] 2018-05-16_通过上传Word文档造成存储型XSS：案例研究

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-17
2018-05-16_通过上传Word文档造成存储型XSS：案例研究 通 过 上 传 W o r d 文 档 造 成 存 储 型 X S S ： 案 例 研 究 酷 酷 哒 大 圣 哥   F 1 1 T e a m   2 0 1 8 - 0 5 - 1 6 0 x 0 0   前 言 前 言 在 进 行 网 站 安 全 测 试 的 时 候 ， 我 们 往 往 会 看 到 一 些 上 传 框 。 在 正 常 情 况 下 ， 可 以 使 用 W e b 服 务 器 上 的 可 用 的 脚 本 语 言 上 传 反 向 s h e l l 。   例 如 ， 如 果 应 用 程 序 运 行 在 P H P 或 A S P 中 ， 上 传 反 向 s h e l l 就 会 相 对 比 较 容 易 。 但 是   如 果 无 法 上 传 后 门 ， 也 可 以 尝 试 上 传 一 个 H T M L 页 面 ， 把 攻 击 者 自 己 的 客 户 端 上 的 J a v a S c r i p t 代 码 上 传 到 服 务 器 以 进 行 典 型 的 X S S 攻 击 。   0 x 0 1   测 试 之 道 测 试 之 道 在 测 试 时 ， 我 发 现 经 过 身 份 验 证 的 用 户 可 以 上 传 文 件 以 进 行 危 害 性 攻 击 。 上 传 按 钮 旨 在 允 许 上 传   W o r d   . d o c x 文 件 。   如 果 用 户 上 传 文 件 的 文 件 通 过 网 站 的 安 全 检 测 ， 那 么 这 个 文 件 同 样 可 以 被 其 他 用 户 下 载 到 客 户 端 。 上 传 的 . d o c x 文 件 与 下 载 的   . d o c x 文 件 之 间 还 是 有 所 不 同 的 ， 在 服 务 器 端 下 载 文 件 之 前 会 对 文 件 执 行 一 些 处 理 。 这 也 是 往 服 务 器 传 后 门 的 一 个 手 段 .   0 x 0 2   进 阶 进 阶
虽 然 上 传 的 文 件 必 须 是 有 效 的 . d o c x ， 但 我 们 可 以 修 改 文 件 扩 展 名 ， 例 如 我 可 以 把 文 件 后 缀 名 改 为 . h t m l   当 从 服 务 器 检 索 出 带 有 . h t m l 扩 展 名 的 文 件 时 ， 系 统 会 把 C o n t e n t - T y p e 标 头 设 置 为 t e x t / h t m l 。 这 将 导 致 浏 览 器 将 该 文 件 以 H T M L 文 件 的 形 式 呈 现 出 来 。 然 后 ， 我 试 图 在 一 个 有 效 的 . d o c x 文 件 中 插 入 一 个 X S S   p a y l o a d 。 因 为 文 件 类 型 是 压 缩 的 ， 所 以 我 需 要 识 别 文 件 主 体 中 的 一 个 区 域 ， 在 压 缩 过 程 中 或 在 系 统 的 后 处 理 过 程 中 不 会 被 修 改 。 可 以 发 现 文 件 结 构 中 的 某 些 文 件 路 径 在 上 传 过 程 中 没 有 被 修 改 ， 我 们 可 以 修 改 设 置 的 文 件 名 ， 在 . d o c x 文 件 中 使 用 x m l 填 充 字 符 。   将 文 件 夹 压 缩 为 . d o c x 后 ， 可 以 使 用 十 六 进 制 编 辑 器 覆 盖 文 件 名 中 的 一 些 字 节 以 插 入 J a v a S c r i p t 代 码 。
  服 务 器 接 受 修 改 的 . d o c x 文 件 的 上 传 指 令 ， 在 P O S T 期 间 将 文 件 扩 展 名 修 改 为 . h t m l   请 求 该 文 件 时 ， 它 作 为 X S S   p a y l o a d 的 完 整 的 H T M L 文 件 对 请 求 者 进 行 响 应   当 在 浏 览 器 中 呈 现 时 ， J a v a S c r i p t 代 码 被 执 行 。 任 何 单 击 该 文 件 链 接 的 人 都 将 在 其 所 在 的 文 件 中 受 到 x s s 攻 击 ， 并 在 浏 览 器 中 执 行 J a v a S c r i p t 。   为 了 混 淆 攻 击 ， 攻 击 者 可 以 将 上 传 的 U R I 包 含 在 一 个 小 的 或 不 可 见 的 i f r a m e 中 ， 以 防 止 受 害 者 注 意 到 正 在 执 行 的 p a y l o a d 。 对
于 本 例 ， 将 显 示 一 个 可 见 的 有 效 负 载 。   0 x 0 3   思 考 思 考 那 么 ， 开 发 人 员 该 怎 么 做 呢 ? 为 了 防 止 这 种 情 况 发 生 ， 开 发 人 员 有 几 个 不 同 的 选 择 : 在 允 许 上 传 之 前 ， 它 们 可 以 在 服 务 器 端 验 证 文 件 扩 展 名 是 . d o c 或 . d o c x ， 这 是 在 H T M L 中 强 制 执 行 客 户 端 传 入 的 需 求 。 不 要 让 用 户 控 制 C o n t e n t - T y p e 。 返 回 相 同 的 C o n t e n t - T y p e ， 不 管 C o n t e n t - T y p e 的 头 部 或 指 定 的 扩 展 名 中 指 定 了 什 么 内 容 。 控 制 下 载 文 件 时 发 生 的 情 况 。 添 加 响 应 头 : “ C o n t e n t - D i s p o s i t i o n :   a t t a c h m e n t ” ， 以 防 止 文 件 在 浏 览 器 中 内 联 显 示 。 过 滤 掉 包 含 H T M L 标 签 的 任 何 上 传 ， 因 为 . d o c x 是 一 个 压 缩 文 件 ， 即 使 文 档 中 包 含 H T M L 标 记 ， 它 们 也 不 应 该 出 现 在 原 始 数 据 中 。 在 b o d y 中 存 在 的 H T M L 标 记 是 文 件 被 篡 改 的 日 志 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理