Browser Security – URL hack

  • A+
所属分类:WooYun-Zone

原文:http://insight-labs.org/Browser%20Security.html

Sogili说把每一部分拿出来讨论一下,那就拆开来发一下吧!

基本概念

URL格式: scheme://

此处为隐藏的内容!
登录后才能查看!
@](host_name|host_address)[:port][/hierarchical/path/to/resource[?search_string][#fragment_id]]

下面详细解释一下各个部分:

scheme是协议名不区分大小写,以冒号结尾,表示需要使用的协议来检索资源。

URL协议是由IANA(The Internet Assigned Numbers Authority,互联网数字分配机构)与个标准化组织一同管理的。

下面的网址列举出目前有的scheme:

http://www.iana.org/assignments/uri-schemes.html

有一些大家很熟悉的例如:http:、https:、ftp:等。

在现实中,一些非正式的协议也会被支持,如javascript等,这可能会有一些安全隐患,将在后面进行讨论。

在RFC1738中定义scheme中只能包含字母、数字、+、- ,现实中浏览器没有严格的遵守。

IE中会忽略所有的非打印字符ASCII中的0×01到0x1F。

chrome中会跳过0×00即NULL字符。

为了符合RFC1738中的语法规范,每个URL中需要在认证信息前面加入“//”。

在省略“//”字符串的情况下,会造成解析错误。

但在个别情况下不会解析错误,如mailto:[email protected]?subject= Hello+world,由邮件客户端打开的时候不会出错。

但是由于浏览器的特性:

1 http:baidu.com/ 这个地址在最新版Chrome、Safari、Firefox、IE中都可以定向到http://baidu.com/ 。

2 javascript://example.com/%0Aalert(1)

<iframe src=”javascript://baidu.com/%0Aalert(1)”> 最新版Chrome、Safari、Firefox、IE中都可以弹出1。

此处为隐藏的内容!
登录后才能查看!
@]

访问资源的认证信息(可选),当没有提供认证信息时,浏览器将尝试匿名获取资源。

绝大部分浏览器在此部分接受几乎所有的字符,有两个例外:

Saferi拒绝 < > { } 字符,Firefox拒绝换行。

(host_name|host_address)

服务器地址,正常的URL是DNS指向的域名例如baidu.com,或者IPv4地址如127.0.0.1,或IPv6的地址如[0:0:0:0:0:0:0:1]。

虽然RFC中的IP地址只允许规范的符号,但是大多数应用程序调用的是标准的C库,导致会宽松很多。

http://127.0.0.1/ 这是一个典型的IPv4地址。

http://0x7f.1/ 这是用十六进制表示的127.0.0.1

http://017700000001/ 用八进制表示的127.0.0.1

[:port]

服务器端口(可选),他表示采用非默认的协议端口来访问服务,例如http的默认端口80,ftp的21等。

几乎所有的浏览器以及第三方应用使用TCP或UDP作为底层的传输方法。

并依靠TCP和UDP的16位端口号分开一台机器上运行不同服务的通信。

当用户将浏览器定向到http://mail.example.com:25/而25端口是SMTP服务,不是http服务,可能引起安全问题,后面会讨论。

[/hierarchical/path/to/resource[?search_string]

路径,用来定位服务器上的资源。

[#fragment_id]]

页面的某个位置,其功能是让用户打开某个网页时,自动定位到指定位置上。

==============================================================

在RFC 3986的文档中定义了一个URI的基本结构,定义了没有特殊意义的字符(0-9 A-Z a-z – . _ ~)

以及一些在某些地方可能有特殊意义的字符(: / ? # [ ] @ ! $ ‘ ( ) * + , ; =)

还有一些字符,当他们直接放在Url中的时候,可能会引起解析程序的歧义。这些字符被视为不安全字符,原因有很多。1 空格:Url在传输的过程,或者用户在排版的过程,或者文本处理程序在处理Url的过程,都有可能引入无关紧要的空格,或者将那些有意义的空格给去掉。

2 引号以及<>:引号和尖括号通常用于在普通文本中起到分隔Url的作用

3 %:百分号本身用作对不安全字符进行编码时使用的特殊字符,因此本身需要编码

4 {}|\^[]`~:某一些网关或者传输代理会篡改这些字符

其他的字符都可以用%加16进制字符串(%nn)来表示,包括%它本身。

由于服务器可能需要能够接受那些字符如用户搜索那些字符时,此时就采用%nn的方式来转码后请求。

导致下面三个URL是等效的:

1 http://example.com/

2 http://%65xample.%63om/

3 http://%65%78%61%6d%70%6c%65%2e%63%6f%6d/

非US-ASCII文本的处理:

对于非ASCII字符,需要使用ASCII字符集的超集进行编码得到相应的字节,然后对每个字节执行百分号编码。

对于Unicode字符,RFC文档建议使用utf-8对其进行编码得到相应的字节,然后对每个字节执行百分号编码。

如”中文”使用UTF-8字符集得到的字节为0xE4 0xB8 0xAD 0xE6 0×96 0×87,经过Url编码之后得到”%E4%B8%AD%E6%96%87″。

针对域名的编码:

Punycode是一个根据RFC 3492标准而制定的编码系统,主要用于把域名从地方语言所采用的Unicode编码转换成为可用於DNS系统的编码。

Punycode可以防止所谓的IDN欺骗。

目前,因为操作系统的核心都是英文组成,DNS服务器的解析也是由英文代码交换,所以DNS服务器上并不支持直接的中文域名解析。

所有中文域名的解析都需要转成punycode码,然后由DNS解析punycode码。

其实目前所说和各种浏览器完美支持中文域名,只是浏览器软件里面主动加入了中文域名自动转码,不需要原来的再次安装中文域名转码控件来完成整个流程。

例子:中国.cn,用Punycode转换后为:xn--fiqs8s.cn

同样其他语言也是如此。例如下面的网址列出一个攻击方式,输入想要伪造的网址,选择相近的字符,可以帮你生成一个

http://www.irongeek.com/homoglyph-attack-generator.php

浏览器本身支持的协议:http: https: ftp: file:(之前是local:,用来获取本地文件或者NFS与SMB共享)

第三方应用或者插件支持的协议: acrobat: callto sip: daap: itpc: itms: mailto: news: nntp: mmst: mmsu: msbd:rtsp: 等等。

伪协议:一些保留协议用来调用浏览器脚本引擎或者函数,没有真正取回任何远程内容,也没有建立一个独立的文件。

如:javascript: data:

data协议例子:data:text/html;base64,PGlmcmFtZS9vbmxvYWQ9YWxlcnQoMSk+

封装的伪协议:view-source:http://www.example.com/

view-source:是由Chrome与Firefox提出的用来查看当前页面源代码的协议。

其他的类似协议还有jar: wyciwyg: view-cache: feed: hcp: its: mhtml: mk: ms-help: ms-its: ms-itss:

  1. 1#

    insight-labs | 2013-01-15 15:56

    这个里面讲得还算详细,唯一一个没有说详细的也就是那个其他国家字符编码的欺骗可能会引起视觉上的欺骗:
    到这里生成一下 http://www.irongeek.com/homoglyph-attack-generator.php
    http://wеibo.com

  2. 2#

    insight-labs | 2013-01-15 15:56

    我去网页看不出效果,发到qq上效果比较好~

  3. 3#

    xsser | 2013-01-15 16:11

    悲剧啊 编辑下啊

  4. 4#

    beastk | 2013-01-15 17:17

    @xsser 不加个编辑器啥的么

  5. 5#

    livers (如梦似幻) | 2013-01-16 13:42

    @insight-labs 加个黑体也行啊

  6. 6#

    ACGT | 2013-05-08 15:28

    @insight-labs
    在一个老外的blog上见过类似的猥琐方法,把木马名称改成explοrer.exe放到windows目录里。我在中文系统下试验,发现不适用于vista之前的系统,因为任务管理器默认字体是宋体。。