首页    新闻    下载    文档    论坛     最新漏洞    黑客教程    数据库    搜索    小榕软件实验室怀旧版    星际争霸WEB版    最新IP准确查询   
名称: 密码:      忘记密码  马上注册
安全知识 :: 专题文章

字符集导致的浏览器跨站脚本攻击


http://www.gipsky.com/
|=????????????????????????????????=|

|=??????=[ 字符集导致的浏览器跨站脚本攻击 ]=??????=|

|=????????????????????????????????=|

|=????????????-=[ By jianxin ]=????????????=|

|=??????????-=[ jianxin@80sec.com ]=?????????-=|

|=????????????????????????????????=|



前言:这种利用类型的攻击早在06年就被安全研究人员指出,不过一直没有在国内重视。而由于我们国内大部分站点正是这种有漏洞的字符集,所以影响还是比较大,希望各大站快速修复。可以看看http://applesoup.googlepages.com/



文中http://www.80sec.com/release/charset-xss.txt



在一般的web程序里,显示数据给浏览器的时候都会指定一个字符集,在国内平时我们用到的字符集有utf-8,GBK,gb2312等等,字符集指示了浏览器该如何对待返回的数据。其中gb2312和GBK字符集使用得非常广泛,但是经证实,IE在处理这些宽字符集的时候存在问题,导致可能程序的一些安全规则被Bypass掉,引发严重的跨站脚本安全漏洞。在IE里,假如它碰到一个字符,它是指定字符集里的第一位的时候,就会认为其后续字符和当前字符构成一个合法的字符,这样它在解析包括html标签,处理javascript,Css时都会做如此考虑,测试版本为ie6和ie7。



1 Bypass某些js的检查规则



〈HTML>

〈HEAD>

〈TITLE>80sec test〈/TITLE>

〈meta http-equiv="Content-Type" content="text/html; charset=gb2312" />

〈/HEAD>

〈BODY>

〈script>

window.onerror=function(){

alert('Vul');

return true;

}

〈/script>

〈script>x='〈?php echo chr(0xC1);?>';y='[User_IN_PUT]‘;〈/script>

〈/BODY>

〈/HTML>



这里即使是过滤了〈>’\等字符一样可以利用非法字符集序列来实现\的作用,因为它会把原来存在的’给结合掉,然后前面的’找不到闭合,后面[User_IN_PUT]就可以用来执行js代码了。



2 Bypass某些属性的检查规则



为了避免直接使用html导致出现漏洞,一些论坛和程序使用了UBB标签,但是在gbk等多字节编码下,一样轻易出现问题,以最轻易出现问题的一个UBB标签为例子:



[color=xyz〈?php echo chr(0xC1);?>][/color][color=abc onmouseover=alert(/xss/) s=〈?php echo chr(0xC1);?>]exploited[/color]



0xC1是一个gb2312的第一个字节,上面结果将会转化为:



〈font color="xyz?>〈/font>〈font color="abc onmouseover=alert(/xss/) s=?>exploited〈/font>



其中的alert(/xss/)将会做一个事件执行,所以即使UBB标签也变得不安全,能饶过”的保护。许多论坛都没有注重这点,phpwind,动网等论坛就轻易受到这种攻击。而Discuz通过在转换结果之后附加一个空格,修补了这一安全问题。这里使用到ubb标签其实有一个很有意思的tips在里面,因为有的数据库会抛弃与指定字符集不匹配的字符,所以必须借助后面的]等字符来形成一个有效的汉字才能存储到数据库里,当然像ACCESS这种就不会有问题了,另外一些语言在处理字符串的时候会强制字符串的字符集类型,不合法的字符会导致转码的失败或者遭到抛弃,所以也不能利用这种类型的攻击。



3 几个小例子



Phpwind论坛charset跨站脚本漏洞



[email=xxxx?[/email][email=xxxx onmouseover=alert() s=?]# # Me[/email]

[font=宋体;0xc1]xxx[/font]xx



?是一个非凡的十六进制编码和后面的]结合出来的字符,第一个种方法可以直接复制的:)

0xc1表示一个十六进制的字符编码



同样在dvbbs论坛也很轻易产生一个xss代码如下



〈font face="微软雅?>xxxxxxxxxxx〈/font>〈font face=" onmouseover=alert() x=?>xxxxxxxxxxx〈/font>



均在新版和老版测试通过。



4 关于修复



对于程序设计者,由于UTF-8字符集的可靠性,不存在这个安全漏洞,所以大家在设计站点的时候可以考虑使用UTF-8字符集。

对于广大开发者,可以牢记最小输入等于最大安全的原则,在匹配正则的时候限制输入的字符的范围,尽量匹配ascii字符,假如必须使用中文,可以考虑类似于discuz的在中文后面添加空格修复该问题。

对于广大用户,这个漏洞由于浏览器处理页面字符的不同,可以考虑使用如Firefox浏览器,可以避免一部分这样的问题。

本站内容均为原创,转载请务必保留署名与链接!

字符集导致的浏览器跨站脚本攻击:http://www.80sec.com/charset-xss.html
<< 利用php来嗅探劫持服务器数据 NTFS数据流和web安全[tips] >>
评分
10987654321
API:
gipsky.com& 安信网络
网友个人意见,不代表本站立场。对于发言内容,由发表者自负责任。

系统导航

 

Copyright © 2001-2010 安信网络. All Rights Reserved
京ICP备05056747号