登陆 注册

上传Word文件形成存储型XSS路径

桑云信息Lzers 2018-06-10 渗透测试

在渗透测试过程中,每当看到目标测试网站存在上传功能时,总会激起我的好奇心。如果能够走运的话,若目标网站服务器是PHP或ASP架构,而且上传功能没作后缀过滤,这样就能导致可以直接上传反弹脚本形成控制。如果这招行不通,我会尝试上传一个HTML页面去触发我自己设置的客户端javascript脚本形成XSS攻击。

本文我就分享一个上传docx文件形成存储型XSS漏洞的实例。

测试上传功能

刚好在某次Web测试工作中,我发现目标网站上传功能中,用一个未授权用户即可上传自己的文件,该上传功能中允许用户上传.docx文件:

上传Word文件形成存储型XSS路径 渗透测试 第2张  第1张

用来上传的文件必须是一个有效的.docx文件,那基于浏览器的解析显示来说,它可能会把它转换为html格式来显示,那我能不能把它后缀作个更改呢?所以我先来试试在POST请求中把.docx后缀更改为.html看看:

上传Word文件形成存储型XSS路径 渗透测试 第4张  第2张

插入XSS Payload

这样,我就想到了把XSS Payload捆绑到一个像下图这样的.docx压缩文件中去。由于这是.docx经直接把后缀更改为.zip的压缩格式文件包样例,我需要确定在上传或Web解析过程中某些不会被转储更改的区域,最后,我发现了这种docx变zip压缩格式包中的某些文件路径会保持原样,像下图这样,我把其中的Settings.xml文件名加上了一长串字母好待区分。

上传Word文件形成存储型XSS路径 渗透测试 第6张  第3张

上传时,服务器能正常接收这个经过构造的.docx文件,在HTTP POST过程中,我把它的后缀更改为.html后缀进行了最终上传:

上传Word文件形成存储型XSS路径 渗透测试 第8张  第4张

当然浏览器解析之后,也能成功执行其中插入的XSS Payload:

上传Word文件形成存储型XSS路径 渗透测试 第10张  第5张

防护措施

这样的效果对于开发者来说应该采取以下手段来进行限制。


1、文件上传之前,在服务器端验证上传文件格式是否为.doc或.docx有效格式;

2、严格限制Content-Type头,对Content-Type头或特定后缀格式更改过的上传文件须保持与上传文件相同的Content-Type头信息;

3、控制文件下载时的其它操作情况,添加响应标头:“Content-Disposition: attachment”,以防止在浏览器中内嵌显示文件;

4、过滤掉所有包含HTML标签的上传,因为docx可经压缩篡改其中包含的HTML文件。

作者:Coalfire


生成海报
桑云信息Lzers

桑云信息Lzers

乐山桑云信息技术有限公司专注于企业安全与网站、小程序、APP架设,为企业客户提供一站式解决方案,帮助企业快速实现互联网+转型。
909文章数 31评论数
请关注微信公众号
微信二维码
不容错过
Powered By SangYun.Net