搜索

[8663] 2015-02-05_漏洞追踪：最新IEUXSS漏洞技术分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-17
2015-02-05_漏洞追踪：最新IEUXSS漏洞技术分析 漏 洞 追 踪 ： 最 新 I E   U X S S 漏 洞 技 术 分 析 F r e e B u f   2 0 1 5 - 0 2 - 0 5 最 近 最 近 D a v i d   L e o 在 在 F u l l   D i s c l o s u r e 上 爆 出 了 一 个 上 爆 出 了 一 个 i e 的 的   u x s s   漏 洞 ， 可 以 绕 过 漏 洞 ， 可 以 绕 过 i e 的 同 源 策 略 。 的 同 源 策 略 。 F r e e B u f 也 有 相 关 的 报 道 （ 也 有 相 关 的 报 道 （ 点 我 查 看 点 我 查 看 ） 。 本 文 简 要 分 析 一 下 ） 。 本 文 简 要 分 析 一 下 这 个 漏 洞 的 原 理 。 这 个 漏 洞 的 原 理 。 攻 击 过 程 攻 击 过 程 < i f r a m e   s r c = " r e d i r e c t . p h p " > < / i f r a m e > < i f r a m e   s r c = " h t t p s : / / w w w . g o o g l e . c o m / i m a g e s / s r p r / l o g o 1 1 w . p n g " > < / i f r a m e > < s c r i p t >         t o p [ 0 ] . e v a l ( ' _ = t o p [ 1 ] ; a l e r t ( ) ; _ . l o c a t i o n = " j a v a s c r i p t : a l e r t ( d o c u m e n t . d o m a i n ) " ' ) ; < / s c r i p t > p o c   中 第 一 个   i f r a m e   利 用 一 个 3 0 2 跳 转 ， 跳 转 到 目 标 域 ， 第 二 个   i f r a m e   也 加 载 了 目 标 域 的 一 个 资 源 ， 和 两 个 资 源 可 以 是 不 同 的 资 源 ， 当 然 跟 C o n t e n t - T y p e 也 没 有 关 系 。 上 述 上 述   p o c   在 浏 览 器 中 的 渲 染 过 程 大 概 如 下 ： 在 浏 览 器 中 的 渲 染 过 程 大 概 如 下 ： 1 、 浏 览 器 渲 染 第 一 个   i f r a m e ， 并 加 载   r e d i r e c t . p h p   的 资 源 ； 2 、 浏 览 器 渲 染 第 二 个   i f r a m e ， 并 加 载 对 应 的 资 源 ； 3 、 浏 览 器 在 第 一 个   i f r a m e   上 执 行   e v a l   中 的   j s   脚 本 ， 分 为 一 下 几 个 步 骤 ：         a . 将 第 一 个   i f r a m e   赋 值 给 一 个 变 量         b . 弹 出 一 个 a l e r t   框         c . 用 户 关 闭   a l e r t 框         d . 通 过 给   l o c a t i o n   赋 值 的 方 式 , 在 目 标 域 上 执 行   p a y l o a d 4 、 p a y l o a d   在 第 一 个   i f r a m e   所 在 的 域 中 执 行 ， 也 就 是 目 标 域 。 漏 洞 真 相 漏 洞 真 相 貌 似 漏 洞 的 关 键 在 那 个   a l e r t   弹 窗 ， 由 于   j s   是 单 线 程 运 行 的 ， 所 有 的 弹 窗 （ a l e r t ,   p r o m p t ,   a n d   c o n f i r m ） 还 有 异 步 函 数 都 会 阻 断 浏 览 器 进 程 ， 但 是 ， 这 块 的 逻 辑 根 据 浏 览 器 的 不 同 ， 实 现 也 有 所 不 同 。 来 看 看 上 面 的   P O C   在 不 同 浏 览 器 上 的 渲 染 时 间 图 ： F i r e F o x 当   a l e r t 框 弹 出 的 时 候 ， f i r e f o x   会 继 续 处 理 网 络 请 求 ， 当 第 一 个   i f r a m e   跳 转 ， 并 且 加 载 了 目 标 域 的 资 源 之 后 , a l e r t   弹 窗 将 会 被 自 动 关 闭 ， j s   脚 本 停 止 执 行 ， 所 以 ， 后 续 p a y l o a d   代 码 不 会 执 行 。 C h r o m e 当 a l e r t   弹 窗 弹 出 的 时 候 ， 所 有 网 络 请 求 都 终 止 了 ， 所 有 后 续   p a y l o a d   中 的   j s   还 是 在 原 有 的 域 上 执 行 的 。 I E 当   a l e r t   弹 窗 弹 出 的 时 候 ， I E   会 继 续 处 理 网 络 请 求 ， 当 第 一 个   i f r a m e   跳 转 之 后 ， 目 标 域 的 资 源 加 载 完 成 之 后 ， 用 户 关 闭 弹 窗 ， p a y l o a d   后 续 的 代 码 是 在 目 标 域 上 执 行 的 。 本 质 原 因 本 质 原 因 当 第 一 个   i f r a m e   跳 转 之 前 ， p a y l o a d   中 的   j s   都 是 在 原 有 的 域 上 执 行 的 ， 这 不 会 绕 过   S O P ， 然 而 ， 当 第 一 个   i f r a m e   跳 转 之 后 ， I E   会 转 换 相 关 的 域 。 所 以 ， 之
前   p a y l o a d   中 的   j s   脚 本 的 域 切 换 到 目 标 域 了 ， 而 不 是 原 本 的 域 ， 所 以 ， 就 可 以 在 目 标 域 上 执 行 任 意 代 码 。 注 意 ， 这 里 第 二 个   i f r a m e   也 是 必 须 的 。 利 用 成 本 利 用 成 本 & & 其 他 其 他 根 据 现 有 的   p a y l o a d ， 貌 似 整 个 利 用 过 程 需 要 用 户 参 与 ， 事 实 上 并 非 如 此 ， 看 如 下   p a y l o a d ： < i f r a m e   s r c = " r e d i r e c t . p h p " > < / i f r a m e > < i f r a m e   s r c = " h t t p s : / / w w w . g o o g l e . c o m / i m a g e s / s r p r / l o g o 1 1 w . p n g " > < / i f r a m e > < s c r i p t >         t o p [ 0 ] . e v a l ( ' _ = t o p [ 1 ] ; w i t h ( n e w   X M L H t t p R e q u e s t ) o p e n ( " g e t " , " s l e e p . p h p " , f a l s e ) , s e n d ( ) ; _ . l o c a t i o n = " j a v a s c r i p t : a l e r t ( d o c u m e n t . d o m a i n ) " ' ) ; < / s c r i p t > a l e r t   弹 窗 的 目 的 是 阻 塞 浏 览 器 进 程 ， 上 面   p a y l o a d   用 一 个 异 步 请 求 来 达 到 同 样 的 效 果 。 影 响 范 围 影 响 范 围 目 前   w i n 7 - w i n 8 . 1 上 面 的   i e 1 0 - i e 1 1 都 受 影 响 。 建 议 普 通 用 户 先 切 换 到 其 他 浏 览 器 吧 。 r e f ： S i m p l i f i e d   P o C P o C   w i t h o u t   u s e r   i n t e r a c t i o n [ 参 考 来 源 参 考 来 源 i n n e r h t . m l ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理