When your browser turns against you Stealing local files

Größe: px

Ab Seite anzeigen:

Download "When your browser turns against you Stealing local files"

Erich Dunkle
vor 8 Jahren
Abrufe

1 Information Security When your browser turns against you Stealing local files Eine Präsentation von Alexander Inführ

2 whoami Alexander Inführ Information Security FH. St Pölten Internet Explorer Tester Web Security Browser Security Obfuscation

3 Einführung User sitzt innerhalb eines Unternehmens. Verwendeter Browser Internet Explorer Ports 80 und 445 erlaubt Wichtiges Textfile am Desktop gespeichert Durch den Besuch einer Webseite, wird der Report gestohlen. Keine Lücken wie Use-After-Free verwendet

Wichtiges Textfile am Desktop gespeichert Durch den Besuch einer

4 Agenda Erklärung von wichtigen Konzepten Erklärung des Angriffs Demo Mögliche Schutzmaßnahmen

5 Internet Explorer Zones 4 Zonen Internet Intranet Trusted Sites Lokale Dateien File:///C:/myfile.html

Intranet Nur in Domäne No-dot rule http://intranet

6 Intranet Nur in Domäne No-dot rule Kein Protected Mode Iframen von SMB Shares Möglich

7 SMB Shares Netzwerkfreigaben Port 445 Iframing in Browser möglich: \\<server>\<share>\<path> \\ Über lokale Shares Zugriff auf Filesystem möglich: C$,ADMIN$,IPC$ \\ \C$\Users\hans\cat.jpg

$myshare\share\bilder\cat.$

8 SMB Shares

9 Reflected XSS & Filter Ungefilterte Rückgabe eines User Inputs in der Website. Javascript im Context der Webseite. IE XSS Filter: Seit IE8 Erkennt reflected XSS Versuche und blockiert die Skriptausführung.

10 Beispiel: <h1> You searched: hallo</h1> onload=alert(1)> <h1> You searched: <svg onload=alert(1)><h1> Mit Filter: <h1> You searched: <svg #nload=alert(1)></h1>

php?x=<svg onload=alert(1)> <h1> You searched: <svg

11 Same Origin Policy Schützt eine Webseite vor Veränderungen bzw. Zugriff einer anderen Webseite.

12 Same Origin Policy 3 Kriterien um Origin festzustellen: Protokoll (z.b. http) Hostname (z.b. example.com) Port (außer IE) Ausnahme in IE: \\<server>\<share>\<path> Server+share gelten als Hostname

13 Beispiel Domain: angesprochene URL Ergebnis Grund httpː// html httpː// html httpː// html Ja Ja Nein selbes Protokoll und Host selbes Protokoll und Host selbes Protokoll und Host, aber anderer Port Domain: \\ angesprochene URL Ergebnis Grund \\ Nein anderes Share \\ Ja selber Hostname + Share

$\\www.evil.com\c$\a\test.html angesprochene URL Ergebnis Grund \\www.evil.com\admin$\a\test.$

14 DNS Rebinding DNS löst Hostnamen zu IP Adressen auf. UDP, Port 53 ==> Anfrage landet bei DNS Server zuständig für example.com Antwort: ==> SOP basiert nur auf Hostnamen DNS gewährleistet nicht, dass der selbe Hostname immer selbe IP mapped.

com ==> Anfrage landet bei DNS Server zuständig für example.

15 DNS Rebinding DNS Rebinding nutzt dies um Hostnamen mit verschiedene IPs aufzulösen: 1 Anfrage: ==> Anfrage: ==> Nun Zugriff auf lokale Server möglich, da die SOP erfüllt ist. DNS Pinning Browser speichert erste DNS Auflösung, dadurch Rebinding nicht möglich.

168.1.1 Nun Zugriff auf lokale Server möglich, da die SOP erfüllt ist.

17 Vorstellung des Angriffs User A besucht leitet weiter auf Seite aus Intranet Zone (z.b Evil lädt in iframe \\ Skript in index.html lädt \\ Mittels DNS Rebinding wird dies auf localhost gebindet. Skript in index.html kann nun Inhalt des lokalen Files lesen Inhalt wird an Angreifer geschickt.

txt Mittels DNS Rebinding wird dies auf localhost gebindet. Skript in index.

18 Vorstellung des Angriffs

19 Getting into the Intranet Zone No-dot rule Manche Top Level Domains hosten Webseiten ==> nicht mehr seit Verboten! Buying own Top Level Domain $ Using XSS 0$

http://io/ ==> nicht mehr http://uz/ seit 13.8.

20 Getting into the Intranet Zone <script>popunder( src= ><\/script> )></script> Reflected XSS Filter bedenken Bypass wird benötigt

$js ><\/script> )></script> Reflected XSS Filter$

21 Getting into the Intranet Zone

22 SMB Via XSS ( Laden von Attack Seite in iframe: <iframe src= \\ \\<server>\<path> is normally SMB Trotz SMB wird das HTML interpretiert

23 Overview

24 Starten des DNS Rebinding Index.html lädt nach 7 Sek: \\ => Verbindung soll auf lokale Maschine zeigen. start zuvor DNS Rebinding: Alle TCP Verbindungen trennen, keine neuen Verbindungen zulassen DNS Eintrag ändern ==> CNAME localhost

25 Starten des DNS Rebinding DNS Pinning Browser speichern DNS Auflösung Anti DNS Pinning Alle TCP Verbindungen blockieren Browser verwirft ==> wird neu aufgelöst DNS von Angreifer Antwort mit: ==> CNAME localhost \\ ==> wird zu \\localhost\c$\users\hans\desktop\steal.txt

26 Resultat

27 Resultat DEMO

28 Voraussetzungen und Schutz Pfad eines Files bekannt Username ist bekannt, dieser wird bei der SMB Anfrage mit übertragen. SMB Port 445 nach außen nicht geblockt Windows Server nicht Main DNS Server Windows Server löst keine Top Level Domains auf

29 Voraussetzungen und Schutz Geschützer Modus Verhindert das Laden des lokalen Files

30 Vielen Dank für Ihre Aufmerksamkeit! Fragen?

Ähnliche Dokumente

Anbindung des eibport an das Internet

Anbindung des eibport an das Internet Ein eibport wird mit einem lokalen Router mit dem Internet verbunden. Um den eibport über diesen Router zu erreichen, muss die externe IP-Adresse des Routers bekannt