Ausnutzung des read://-URL-Handlers von Edge

Einleitung

Dieser Exploit wurde Microsoft gemeldet und ich wurde dafür gewürdigt. Der Exploit wurde am 14. März 2017 unter den Namen CVE-2017-0065 und MS17-007 gepatcht und funktioniert nicht, wenn die entsprechenden Patches angewendet werden. Der Quellcode wird nur zu Bildungszwecken bereitgestellt.

Referenzen:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2017-0065

https://docs.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-007

https://nvd.nist.gov/vuln/detail/CVE-2017-0065

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0065

Allgemeines

Dieser Exploit erfordert, dass das Opfer eine gefälschte Datei (exploit.html) an einem bekannten Dateispeicherort auf seinem Dateisystem hat. Das Opfer muss die Datei nicht ausführen, sie muss nur vorhanden sein. Die Datei kann dann durch Besuch einer bösartigen Website (malicious_server.php) aufgerufen werden.

Mit diesem Exploit können lokale Dateien ohne Zustimmung des Benutzers auf besuchte bösartige Websites hochgeladen werden.

So lässt es sich reproduzieren:

1. Bearbeiten Sie exploit.html, sodass die Adresse Ihres Test-Webservers als Formular-Action eingetragen ist.
2. Stellen Sie malicious_server.php auf einem PHP-fähigen Webserver bereit, sodass Sie es mit http://yourwebserver.com/malicious_server.php erreichen können.
3. Platzieren Sie exploit.html in folgendem Ordner: c:\windows\system32\drivers\etc\ (Hinweis: Das read:-Protokoll scheint wählerisch bezüglich des Dateispeicherorts zu sein).
4. Navigieren Sie mit Edge zu http://yourwebserver.com/malicious_server.php.

Hier ist, was passieren sollte:

1. Das Navigieren zu malicious_server.php sollte einen Browser-Redirect zu read:,c:\windows\system32\drivers\etc\exploit.html auslösen.
2. exploit.html sollte den Benutzer dann auffordern, an einer beliebigen Stelle auf der leeren Seite zu klicken.
3. Nach einem Klick erstellt exploit.html ein Fenster mit der URL read:,c:\windows\system32\drivers\etc\hosts.
4. Wenn die Fenstererstellung erfolgreich ist, wird der Inhalt des geöffneten Fensters (Hosts-Datei) in ein verstecktes Formular kopiert, das Fenster geschlossen und das Formular zurück an malicious_server.php auf Ihrem Webserver gesendet.
5. malicious_server.php zeigt den Inhalt der übermittelten Datei an.