【安全】【测试思路】文件上传下载之绕过上传时内容校验的DDE注入攻击

DDE注入介绍

  DDE（Dynamic Data Exchange，动态数据交换）是应用之间传输数据的一种方法。Excel可以使用这种机制，根据外部应用的处理结果来更新单元格的内容。因此，如果我们制作包含(恶意)DDE公式的xlsx/csv文件，那么在打开该文件时，Excel就会尝试执行外部应用，以达到攻击的目的。

测试流程图

1. 攻击者搭建一个ftp服务器，当有人访问指定的URL地址时，固定返回DDE注入命令。
2. 制作一个可以读取ftp服务器的xls/xlsx文件，并上传到系统软件中。
3. 用户在不知情的情况下，下载xls/xlsx文件。
4. 用户双击打开后，文件中的某个单元格自动访问URL地址，获取到DDE注入命令后，触发命令的执行。

测试步骤

服务器搭建

参考代码

  在这里，咱们可以使用python搭建一个http服务器，用于发送攻击脚本。参考代码如下，其中的端口号和DDE注入命令可根据需要进行设置。

#!/usr/bin/env python
# -*- coding: UTF-8 -*-
"""=================================================
@Author ：Fantasy_Boyce
@Date   ：2020-07-25 23:08
@Desc   ：
=================================================="""
from http.server import BaseHTTPRequestHandler, HTTPServer


class MyHandler(BaseHTTPRequestHandler)