capec - 209: XSS使用MIME类型不匹配 |
 描述
敌人与脚本内容创建了一个文件,但文件的指定MIME类型是这样的脚本是出乎意料的时候。对手的技巧受害者访问URL,以脚本文件。一些浏览器将检测到指定文件的MIME类型不匹配的实际类型的内容,会自动切换到使用翻译的内容类型。如果浏览器不调用脚本过滤器在做这项工作之前,对手的脚本可能运行在目标unsanitized,可能透露受害者的饼干或执行任意脚本的浏览器。
典型的严重性
执行流程
探索
调查申请存储用户可控的输入:使用浏览器或一个自动化工具,敌人之前所有公共和行动在一个网站的链接。他们记录所有地区,允许用户通过一个HTTP POST请求上传内容。这通常是在博客或论坛中找到。
| 技术 |
| 使用搜索工具跟踪和记录所有的链接和分析网页文件上传功能 |
| 使用一个代理工具来记录所有的链接访问web应用程序的手册中遍历。 |
| 网站使用浏览器手动探索和分析它是如何构建的。许多浏览器的插件可以促进分析或自动发现。 |
实验
调查发现潜在入口点MIME类型不匹配:对手使用入口点聚集在“探索”阶段的目标列表和上传文件脚本内容,但其MIME类型被指定为一个文件类型不能执行脚本的内容。如果应用程序只检查文件的MIME类型,它可以让文件通过,导致脚本执行的任何用户访问该文件。
| 技术 |
| 上传一个脚本文件的MIME类型text /纯一个论坛,然后访问上传文件是否将执行该脚本。如果可能的话,该脚本显示一个惟一的标识符的对手知道某些时执行测试。 |
商店恶意XSS内容:一旦对手决定哪些文件上传位置容易MIME类型不匹配,他们将上传恶意脚本伪装成一个非脚本文件。敌人可以有许多目标,从窃取会话id,饼干,凭据和页面内容从一个受害者。
| 技术 |
| 使用工具,如牛肉存储钩到web应用程序。这将提醒对手当受害者访问内容和将对手控制受害者的浏览器,允许他们访问饼干,用户截图、用户剪贴板,和更复杂的XSS攻击。 |
利用
让受害者视图存储内容:为了成功的攻击,受害者需要查看存储恶意网页上的内容。
| 技术 |
| 发送网络钓鱼电子邮件包含一个URL的受害者,这将直接存储的恶意内容。 |
| 只是等待一个受害者视图的内容。这是可行的,在内容的情况下发布到一个受欢迎的公共论坛。 |
先决条件
| 受害人必须遵循一个精心制作的链接引用一个脚本文件,输错的是一个非可执行文件。 |
| 受害者的浏览器必须检测的真正类型mis-labeled脚本文件,并调用适当的脚本解释器不先对内容进行过滤。 |
所需资源
| 敌人必须有能力源文件包含一个脚本的不正确的MIME类型。 |
例子,实例
| 例如,可以使用MIME类型text /平原实际内容的文本/ html / javascript或文本。从文本不包含脚本指令,所述MIME类型将表明,过滤是不必要的。然而,如果目标应用程序随后决定了文件的类型并调用适当的翻译,可以调用脚本内容。 |
| 另一个例子,img标记HTML内容可以参考一种可渲染的文件而不是预期的图像文件。文件扩展名和MIME类型可以描述一个图像文件,但文件内容可以text / javascript或text / html脚本执行。如果浏览器假定所有引用在img标记图像,因此不需要过滤的脚本,这将绕过内容过滤器。 |
引用
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-05-01
(版本2.10) |
CAPEC内容团队 |
manbetx客户端首页 |
| Activation_Zone更新,描述总结,Examples-Instances Injection_Vector,有效载荷,Payload_Activation_Impact, Related_Attack_Patterns, Related_Weaknesses Resources_Required |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Execution_Flow |
| 2022-02-22
(版本3.7) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Execution_Flow |
| 以前的条目名称 |
| 改变日期 |
以前的条目名称 |
| 2017-05-01
(版本2.10) |
跨站点脚本使用MIME类型不匹配 |
|
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
