Solución al minireto XSS por Dani Kachakil

Introducción

Este documento describe una posible solución al pequeño reto de XSS (Cross Site Scripting) que nos planteó Chema en este post:

http://elladodelmal.blogspot.com/2008/03/correos-en-la-web-iv-de-iv.html

El reto consistía en diseñar y hacer llegar un correo electrónico "malicioso" que logre enviar de forma automática otro correo electrónico cuando éste sea abierto por el usuario a través del webmail de Hispavista.

Podemos usar el mismo post como posible pista, ya que da una idea bastante clara de lo que se busca y cómo se puede conseguir si hacemos que el usuario pase el ratón por encima de un texto. Sin embargo, la solución que se describe en este documento no necesita de la interacción del usuario, con la desventaja de que solamente funciona en Internet Explorer.

Paso 1: Enviar un mensaje de correo a través del webmail

Como paso previo, resulta prácticamente imprescindible disponer de una cuenta de correo en Hispavista para poder analizar el webmail y hacer las correspondientes pruebas. Al ser un servicio gratuito, no tendremos ningún problema en obtener una nueva cuenta (en caso de no tener ya una).

Desde el webmail enviamos un mensaje a cualquier cuenta de correo, analizando la petición que se realiza (por ejemplo, intercalando un proxy como Odysseus). Vemos que hay una serie de parámetros típicos (To, Cc, Subject, …) que se envían por POST a una página llamada "Compose.wssp". De cara a lograr la inyección XSS, nos resultará más sencillo hacer una petición GET que una POST, así que intentamos pasar los parámetros a través de la URL directamente, comprobando que esto funciona:

Compose.wssp?To=usuario@dominio.com&Subject=Prueba&Body=Cuerpo&Send=Enviar

Paso 2: Buscando la vulnerabilidad XSS

Aunque podíamos haber utilizado la técnica mostrada como ejemplo, vamos a intentar encontrar otra vulnerabilidad que consiga el efecto deseado sin la necesidad de la intervención del usuario. Para ello podemos utilizar como referencia una página que contenga varios vectores de ataque, como la XSS Cheat Sheet. Simplemente se trata de ir probando vectores, esperando que alguno de ellos funcione. En principio nada impide incluir varias pruebas en un mismo mensaje, de forma que agilizaremos el proceso.

Para enviar el mensaje en principio podemos usar cualquier cliente de correo electrónico que acepte HTML, aunque algunos de ellos modificarán a su antojo el mensaje enviado y eso es algo que conviene evitar. En mi caso utilicé unas cuantas líneas de código en VB.net de la siguiente forma (sustituyendo los valores obvios):

Dim msg As New System.Net.Mail.MailMessage("usuario@dominio.com", _ "victima@hispavista.com")
msg.Subject = "Prueba XSS"
msg.IsBodyHtml = True
msg.Body = "(Aquí va el cuerpo del mensaje)"
Dim smtp As New System.Net.Mail.SmtpClient("smtp.dominio.com")
smtp.Send(msg)

En nuestras pruebas veremos que muchos vectores acaban siendo filtrados o alterados, de forma que no podremos aprovecharlos para nada, pero finalmente encontramos un vector que funciona, haciendo que se muestre un mensaje de alerta justo al abrir el mensaje por parte del usuario o víctima:

[IMG STYLE="xss:expr/*XSS*/ession(alert('XSS'))"]

Paso 3: Aprovechando la vulnerabilidad

Ahora que sabemos cómo enviar un mensaje desde el webmail y que tenemos localizado un vector de ataque válido, parece que estamos a punto de conseguir lo que buscamos, ya que a primera vista simplemente tendremos que combinar ambas cosas para lograr el ataque CSRF (Cross-Site Request Forgery). Sin embargo, si sustituimos directamente el mensaje de alerta por la URL que envía el mensaje, veremos que el método no funciona como esperábamos, ya que la URL relativa aparecerá prefijada con "unknown://".

Para evitar este pequeño inconveniente podemos hacer que la URL se establezca de forma dinámica, modificando el atributo en tiempo de ejecución. Añadiremos una nueva etiqueta de imagen asignándole un atributo "id" para poder localizar el elemento y modificar el atributo "src" dinámicamente de la siguiente manera:

[IMG id="xss" src="a"]
[IMG STYLE="xss:expr/*XSS*/ession(document.getElementById('xss').src=
'Compose.wssp?To=usuario@dominio.com&Subject=Prueba&Body=Cuerpo&Send=Enviar')"]

Ahora basta con enviar un mensaje de correo (en formato HTML) con ese texto en el cuerpo y esperar a que la víctima lo visualice con Internet Explorer.

Comentarios

En esta ocasión queda claro que no estamos ante un reto ficticio, sino que se trata de un caso real, así que espero que a nadie se le ocurra utilizar esta vulnerabilidad con ninguna finalidad malintencionada, ya que resulta obvio que esta misma técnica podría usarse para hacer "cosas malas" (y no digo más porque no quiero dar ideas). ;-)

Como siempre, espero que esta información te haya resultado útil y didáctica. Soy consciente de no haber detallado todos los conceptos a los que hago referencia, pero si tienes interés en cualquier tema concreto, siempre podrás ampliar tus conocimientos buscando por Internet, probando o preguntando.

Saludos, Daniel Kachakil