capec - 71:使用Unicode编码绕过验证逻辑 |
 描述
攻击者可能会提供一个Unicode字符串的系统组件Unicode的了解和使用,绕过过滤器或导致无法正确理解请求分类机制。这可能允许攻击者滑过去的恶意数据内容过滤和/或可能导致应用程序路由请求不正确。
攻击的可能性
典型的严重性
执行流程
探索
调查申请用户可控的输入:使用浏览器或一个自动化工具,攻击者遵循所有公共和行动在一个网站的链接。他们记录所有的链接、表单、资源访问web应用程序和所有其他可能的切入点之一。
| 技术 |
| 使用搜索工具跟踪和记录所有的链接和分析网页找到入口点。特别注意任何链接,包括参数的URL。 |
| 使用一个代理工具来记录所有用户输入入口点在手工遍历web应用程序的访问。 |
| 网站使用浏览器手动探索和分析它是如何构建的。许多浏览器的插件可以促进分析或自动发现。 |
实验
探针的入口点来定位漏洞:攻击者使用入口点聚集在“探索”阶段作为目标列表和注入各种Unicode编码的有效载荷可以确定一个入口点实际上代表一个漏洞验证逻辑和描述不足的程度可以利用的漏洞。
| 技术 |
| 试着在脚本中使用Unicode编码的内容为了绕过验证例程。 |
| 尝试使用Unicode编码的内容在HTML中为了绕过验证例程。 |
| 尝试使用Unicode编码的内容在CSS中为了绕过验证例程。 |
先决条件
技能要求
|
(级别:中等) 攻击者需要理解Unicode编码和有一个想法(或可以找到)系统组件可能不是Unicode意识到什么。 |
指标
| Unicode编码的数据传递给api在出乎意料的时候 |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密
访问控制
授权 |
旁路保护机制 |
|
|
保密
完整性
可用性 |
执行未经授权的命令 |
|
|
完整性 |
修改数据 |
|
|
可用性 |
不可靠的执行 |
|
缓解措施
| 确保系统是Unicode敏感并能妥善处理Unicode数据。不要做一个假设在ASCII数据。 |
| 确保过滤或输入验证应用于规范化数据。 |
| 假设所有的输入是恶意的。创建一个定义所有有效allowlist输入软件系统根据需求规格说明书。输入不匹配allowlist不应被允许进入系统。 |
例子,实例
很常见的Unicode技术攻击包括遍历目录寻找有趣的文件。这个想法的一个例子应用于网络
http://target.server/some_directory/../../../winnt 在这种情况下,攻击者试图穿越到一个目录不应该是标准的Web服务的一部分。关键是相当明显的,因此许多Web服务器和脚本阻止。然而,使用替代编码技巧,攻击者可以绕过过滤器严重实现请求。 2000年10月,敌人公开透露,微软的IIS服务器遭受这个问题的一种变体。在IIS的情况下,所有的攻击者所要做的就是提供替代编码点和/或斜杠发现在一个典型的攻击。Unicode翻译
。收益率C0 AE
/收益率C0房颤
\收益率C1 9 c 使用这种转换,前面显示的URL可以编码
http://target.server/some_directory/%C0AE/%C0AE/%C0AE%C0AE/%C0AE%C0AE/winnt 参见:cve - 2000 - 0884 |
分类法映射
CAPEC映射ATT&CK技术利用一个继承模型简化和减少直接CAPEC / ATT&CK映射。继承的映射表示文本说明父CAPEC有相关ATT&CK映射。注意,ATT&CK企业框架不使用一个继承模型的一部分映射到CAPEC。
与OWASP分类法映射
引用
|
[REF-1] g·霍格伦德和g·麦格劳。“利用软件:如何打破代码”。addison - wesley。2004 - 02。 |
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-01-09
(版本2.9) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新的引用 |
| 2020-07-30
(版本3.3) |
CAPEC内容团队 |
manbetx客户端首页 |
| 应对Execution_Flow更新, |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Taxonomy_Mappings |
| 2021-06-24
(版本3.5) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Weaknesses |
| 2022-09-29
(版本3.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Example_Instances |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
