📝 描述

Google Chrome - 文件系统访问 API - 由 Maciej Pulikowski 报告的漏洞

总漏洞赏金：$5.000

这是以下漏洞的 PoC：

• [Google Security_Severity] CVE
• [HIGH] CVE-2021-21123
• [MEDIUM] CVE-2021-21129
• [MEDIUM] CVE-2021-21130
• [MEDIUM] CVE-2021-21131
• [MEDIUM] CVE-2021-21172
• [LOW] CVE-2021-21141

这里的主要安全问题是 Google Chrome 启动的操作系统「另存为」对话框向用户显示了错误的下载文件扩展名。它显示「保存类型：JPEG (.jpg)」，但实际下载的是 virus.jpg.lnk，该文件可以通过 PowerShell 下载并运行 virus.exe。

所以这属于一种下载文件扩展名欺骗。

该漏洞在 Windows、Mac 和 Linux 上的 Google Chrome 86 和 87 中均有效。 当然，LNK 只在 Windows 上有效，但在 Linux 或 Mac 上我们可以将其改为不同的扩展名。

Google 博客文章：

• https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop_19.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

上述漏洞均为 「由 Maciej Pulikowski 报告」

📺 Youtube PoC 视频

https://www.youtube.com/watch?v=l9swTtaRDNs

感谢点赞 😀👍

👨‍💻 PoC 代码

要求： 不需要任何东西，只需在旧版 Google Chrome 86 或 87 中运行一个 HTML 文件即可。如果你想用 .lnk 文件进行测试，你必须自己创建 FUD 的「lnkextra.lnk」文件，因为它没有包含在内。

• example_showSaveFilePicker.html（该漏洞在 Google Chrome 86 和 87 中有效，已在 88+ 中修复）

  CVE-2021-21123、CVE-2021-21129、CVE-2021-21130、CVE-2021-21131、CVE-2021-21141

  我的 showSaveFilePicker() 示例的演练场：

  • 保存 LNK 文件并显示保存类型为：JPEG 图像 (*.jpg)
  • 描述中包含大量空白和伪造扩展名
  • 描述中的 RTL
  • 超长描述
  • 扩展名中有大量空格
  • 扩展名中的 RTL
  • 扩展名以空格结尾
  • 扩展名以句点结尾
  • 以不同方式保存 LNK 文件
  • 额外功能 - 因为所有操作都在 JS 中完成，我们可以检查用户的浏览器是否存在漏洞

• example_getFileHandle.html（该漏洞在 Google Chrome 86、87 和 88 中有效，已在 89+ 中修复）

  CVE-2021-21172 - getFileHandle() - 将 .lnk 文件保存到选定文件夹

💻 有用的链接

• 文件系统访问 API：简化对本地文件的访问
• 文件系统访问 - 文档
• 文件系统访问 Web API - Chromium 安全模型
• Chromium 源代码 - 默认下载方法阻止 .lnk 文件

🤝 表示支持

如果你喜欢这个内容，请给一个 ⭐️

✔️ 免责声明

本项目仅可用于教育目的。未经事先许可，使用此软件攻击目标系统是违法的，因滥用此软件所造成的任何损失，作者概不负责。