Bilgi:

Eski IE web tarayıcılar Content-Type yanıt başlığı doğru formatta da olsa her halükarda Content Sniffing yapmaktadırlar ve Content Sniffing ile belirlenen veri türüne göre paket okuması / yorumlaması yapmaktadırlar. Content Sniffing özelliğini bu şekilde kullandıkları için XSS (Content - Sniffing) zafiyetinin sömürülmesi noktasında IE web tarayıcılar öndedirler.

Not:

Tarayıcılarda Content Sniff'leme özelliği spesifik anlarda tetiklenir. Bunun için bir http spesifikasyonu vardır.

Sahadan Bir Örnek

Örneğin uygulama bir sayfası parametreye girdi olarak verilen değer sonucu json formatta hata yanıtı dönmektedir. Uygulamanın bu sayfasındaki parametreye XSS payload’u verildiğinde yanıt olarak hata mesajı içerisinde XSS payload’u dönmektedir. Fakat yanıt paketi json formatta hata mesajını döndüğünden içerisindeki XSS payload’u (javascript kodu) çalışmamaktadır.

// Uygulama sayfasındaki op parametresine XSS payload’u girilir

Http Talep:

GET /web/v1/?op=LISTSTATUS'"()%26%25<acx><ScRiPt%20>J4Um(9462)</ScRiPt> HTTP/1.1
Referer: http://X.X.X.X:5070/
Accept: text/html;q=0.9,*/*;q=0.8
Accept-Encoding: gzip,deflate
Host: X.X.X.X:5070
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.103 Safari/537.36
Connection: Keep-alive

Yanıt olarak dönen paket json formattadır ve içerik olarak json içerik barındırırken gönderdiğimiz XSS payload'unu da hataya sebebiyet verdi diye bilgilendirmek maksatlı geri yansıtmaktadır.

Http Yanıt:

HTTP/1.1 200 OK
Cache-Control: no-cache
Expires: Wed, 08 Jan 2020 07:30:25 GMT
Date: Wed, 08 Jan 2020 07:30:25 GMT
Pragma: no-cache
Expires: Wed, 08 Jan 2020 07:30:25 GMT
Date: Wed, 08 Jan 2020 07:30:25 GMT
Pragma: no-cache
Content-Type: application/json // Paket Json Formatta
X-FRAME-OPTIONS: SAMEORIGIN
Server: Apache
Content-Length: 288

{"RemoteException":{"exception":"IllegalArgumentException", "javaClassName":"java. lang. IllegalArgumentException", "message":"Invalid value for parameter \"op\": No enum constant org. apache.web.resources. GetOpParam.Op.LISTSTATUS'\"()&%<ACX><SCRIPT>J4UM(9462)</SCRIPT>"}} // XSS Payload'u Barındırıyor

Uygulama bu sayfasındaki hata mesajlarını json formatta dönmektedir. Json formatta gelen hata mesajı içerisindeki XSS kodu ise paket formatı gereği json okumasıyla okunduğundan kullanıcı ekranında çalışmayacaktır. Bu XSS kodu sayfada hata mesajıyla beraber json içeriğinde string olarak yer edecektir. Eğer uygulama sunucusunda yanıt paketlerine X-Content-Type-Options başlığı ilavesi yapılmamaktaysa Content-Type ile eş durumda olmayan paket alt içeriği XSS payload girdisi eski web tarayıcılarda Content-Type düzeltmesi yapmak için Content Sniffing özelliğini çalıştırmayı tetikleyebilir ve bu yolla paket türü bilgisi alt içeriğe göre şekillenerek paket okuması / yorumlaması yapılabilir. Bu ise alt içeriğin tarayıcı ekranında string olarak değil, çalışır halde yansıması demek olur. Dolayısıyla kullanıcılar op parametresine XSS payload’u ekli halde url adresine gittiklerinde tarayıcıların Content Sniffing özelliğini kullanmaları ile Content-Type düzeltmesi yaşamaları ve ekrana yansıtılan yanıt paketini bu türden görüntülemeleri sonucu zarar görebilirler.

Gerçek bir senaryoda bu paketi oluşturup yollayacak bir url adresi hazırlanabilir ve çeşitli yöntemlerle kurbanlara aktarılarak tıklanması sonucu XSS saldırısı uygulanabilir ve kurbanların çerezleri çalınabilir, hangi tuş takımını tuşladıkları bilgisi toplanabilir, ddos yaptırılabilir, ... vs.

Ubuntu 18.04 LTS - Apache	// Web Sunucu (Host Makina)
/var/www/XSS (Content-Sniffing) Uygulaması	// Demo Web Sayfası
Windows 7 Home Premium	// Son Kullanıcı Bilgisayarı (Sanal Makina)
Internet Explorer 8	// Son Kullanıcı Web Tarayıcısı

Ubuntu 18.04 LTS:

cd "/var/www/XSS (Content-Sniffing) Uygulaması/"
ls

Çıktı:

deneme.txt

NOT:

Web sunucudaki txt belgesinin içerik uzunluğu string’lerle arttırıldığında IE8 web tarayıcıda content sniff’leme bir noktadan sonra çalışmadı ve javascript bloğu olsa da yanıt paketinde gelen belge txt şeklinde yorumlandı. Dolayısıyla bu şekilde bir pratik durum söz konusu.

Ubuntu 18.04 LTS:

sudo nano /etc/apache2/apache2.conf

Çıktı:

# En Alta Eklenir 
...
...
Header set X-Content-Type-Options "nosniff"

Ardından web sunucu servisi yeniden başlatılır.

service apache2 restart

(!) Uyarı:

IE8’de cache’leme özelliği kapatılmalıdır. Aksi takdirde web sunucudan yanıt paketi almak yerine cache’den yanıt paketi geleceğinden uygulanan X-Content-Type-Options başlıklı yanıt paketi alınamayacaktır. Dolayısıyla önlemin çalışırlığı gözlemlenemeyecektir. Cache kapatıldığında X-Content-Type-Options başlıklı yanıt paketi gelecektir ve IE8’in content sniffing yapması önlenerek script bloğunun string kalması sağlanabilecektir.




Internet Explorer 8’de Cache Kapama I


Internet Explorer 8’de Cache Kapama II