nccgroup/outlookleaktestThe Outlook HTML Leak Test Project
Windows에서 작동할 수 있는 URI 스킴 목록입니다. 이러한 스킴/프로토콜은 새로운 취약점을 찾거나 현재 보호 기능을 우회하기 위한 유사한 연구에 유용할 수 있습니다. 다른 제품도 유사한 영향을 받을 수 있지만 여기서는 연구되지 않았습니다.
흥미로운 점은 MS Office로 이 파일을 열 때 평소보다 오래 걸린다는 것인데, 이는 Excel이 그중 일부에 대해 어떤 작업을 수행하고 있음을 시사할 수 있습니다. 이는 버그/기능을 찾을 수 있는 좋은 신호입니다!
자동으로 또는 사용자 상호작용에 의해 다른 리소스에 요청을 보낼 수 있는 HTML 태그 목록입니다. 이 파일은 다음 소스를 기반으로 생성되었습니다:
평가 작업을 하는 동안 Outlook 2010에서 다음과 유사한 이미지 태그를 포함한 HTML 이메일을 받았습니다:
<img src="https://raw.githubusercontent.com/nccgroup/outlookleaktest/HEAD/example.com/test/image.jpg" >
해당 이메일을 연 후 Outlook이 무언가를 검색하고 있었고, 완전히 열리는 데 평소보다 오래 걸린다는 것을 확인할 수 있었습니다. Outlook이 실제로 해당 URL을 \\example.com\test\image.jpg로 사용하고 example.com에 SMB 요청을 보냈다는 것을 빠르게 깨달았습니다.
제공된 SMB 경로가 유효한 경우에도 이미지를 로드하지는 않았지만, 제 SMB 해시를 임의의 위치로 보낼 수 있었습니다. 이 공격은 Outlook 2016에서는 작동하지 않았지만, 다양한 URI 스킴과 특수 페이로드를 허용하는 서로 다른 HTML 태그를 시도하는 작은 연구 프로젝트를 시작하게 되었습니다.
ASPOSE.Email(https://downloads.aspose.com/email/net) 및 Microsoft Office Interop 라이브러리를 사용하는 빠르고(그리고 대충 만든) ASP.NET 애플리케이션을 설계하여 알려진 URI 스킴 목록을 다양한 대상으로 테스트할 수 있었습니다. 이 애플리케이션은 Outlook에서 수신하거나 보낸 이메일과 유사한 읽기 전용 MSG 파일을 생성합니다. cure53 HTTPLeaks 프로젝트(https://github.com/cure53/HTTPLeaks)를 약간 수정하여 이메일을 생성하는 HTML 템플릿으로 사용했습니다. 이 연구에 사용된 지저분한 C# 코드, URI 스킴, 수식 및 HTML 템플릿은 이 저장소에서 찾을 수 있습니다.
복잡성을 줄이기 위해 Sysinternals Suite의 Wireshark와 Process Monitor를 사용하여 원격 및 로컬 파일 시스템 호출을 감지했습니다.
Outlook은 악성 HTML 이메일을 열 때 외부 SMB/WebDAV 요청을 보냈습니다. 이는 피해자의 SMB 해시를 탈취하거나 수신자가 메시지를 확인했는지 여부를 판단하는 데 악용될 수 있습니다. 이 문제는 외부 리소스(예: 이미지 파일) 로드를 차단하는 Outlook 기본 설정을 사용하여 악용되었습니다. 이러한 요청은 이메일을 연 직후 전송되었습니다. SMB 포트가 차단된 경우 포트 80에서 WebDAV 요청이 전송되었습니다. 자세한 내용과 수정 사항은 https://www.nccgroup.trust/uk/about-us/newsroom-and-events/blogs/2018/may/smb-hash-hijacking-and-user-tracking-in-ms-outlook/ 를 참조하십시오.
\\ 패턴은 Outlook에 의해 차단되었지만, Outlook이 원격 서버에 요청을 보내도록 강제하는 여러 다른 패턴과 URI 스킴이 발견되었습니다.
다음 표는 확인된 벡터를 보여줍니다:
다음 URI 스킴은 유용할 수 있는 로컬 파일 시스템을 대상으로 하는 데에도 사용될 수 있습니다:
OutlookLeakTest 프로젝트는 2018년 NCC Group의 저작권이며, Apache 라이선스(LICENSE 참조)에 따라 라이선스가 부여됩니다.