nccgroup/outlookleaktestThe Outlook HTML Leak Test Project
Windowsで動作する可能性のあるURIスキームのリスト。これらのスキーム/プロトコルは、新しい脆弱性を発見したり、現在の保護を回避したりするための同様の研究で役立つ可能性があります。他の製品も同様に影響を受ける可能性がありますが、ここでは調査されていません。
興味深いことに、このファイルをMS Officeで開くと通常より時間がかかります。これは、Excelがそれらの一部に対して何かを実行している可能性を示唆しています。これはバグ/機能を見つけるための素晴らしい兆候です！
自動的に、またはユーザーの操作によって他のリソースにリクエストを送信する可能性のあるHTMLタグのリスト。 このファイルは以下のソースに基づいて生成されています。
アセスメントに取り組んでいるときに、Outlook 2010で次のような画像タグを含むHTMLメールを受け取りました:
<img src="https://raw.githubusercontent.com/nccgroup/outlookleaktest/HEAD/example.com/test/image.jpg" >
そのメールを開いた後、Outlookが何かを探しているようで、完全に開くまでに通常より時間がかかることがわかりました。すぐに、Outlookが実際にはURLを \\example.com\test\image.jpg として使用し、example.com にSMBリクエストを送信していることに気付きました。
提供されたSMBパスが有効であっても画像を読み込まなかったものの、SMBハッシュを任意の場所に送信できました。この攻撃はOutlook 2016では機能しませんでしたが、異なるURIスキームと特別なペイロードを受け入れるさまざまなHTMLタグを試す小さな研究プロジェクトを開始するきっかけとなりました。
ASPOSE.Email (https://downloads.aspose.com/email/net) とMicrosoft Office Interopライブラリを使用した、迅速で(粗雑な)ASP.NETアプリケーションを設計することで、既知のURIスキームのリストをさまざまなターゲットに対してテストすることができました。このアプリケーションは、Outlookで受信または送信されたメールに似た読み取り専用のMSGファイルを生成します。 cure53 HTTPLeaksプロジェクト (https://github.com/cure53/HTTPLeaks) を少し変更したものが、メールを生成するためのHTMLテンプレートとして使用されました。この研究で使用された粗雑なC#コード、URIスキーム、数式、HTMLテンプレートは、このリポジトリにあります。
複雑さを減らすために、WiresharkとSysinternals SuiteのProcess Monitorを使用して、リモートおよびローカルのファイルシステム呼び出しを検出しました。
Outlookは、巧妙に細工されたHTMLメールを開くと、外部のSMB/WebDAVリクエストを送信しました。これは、被害者のSMBハッシュを乗っ取ったり、受信者がメッセージを閲覧したかどうかを判断したりするために悪用される可能性があります。 この問題は、画像ファイルなどの外部リソースの読み込みをブロックするOutlookのデフォルト設定を使用して悪用されました。 これらのリクエストは、メールを開いた直後に送信されました。SMBポートがブロックされた場合、ポート80でWebDAVリクエストが送信されました。詳細と修正については、https://www.nccgroup.trust/uk/about-us/newsroom-and-events/blogs/2018/may/smb-hash-hijacking-and-user-tracking-in-ms-outlook/ を参照してください。
\\ パターンはOutlookによってブロックされましたが、Outlookにリモートサーバーへのリクエストを強制する他のパターンやURIスキームがいくつか見つかりました。
次の表は、特定されたベクターを示しています:
次のURIスキームは、ローカルファイルシステムをターゲットにするためにも使用できる可能性があり、有用かもしれません:
OutlookLeakTestプロジェクトは、NCC Groupが2018年に著作権を所有し、Apacheライセンス( LICENSE を参照)の下でライセンスされています。