Prefacio al artículo
A veces, cuando realizamos pruebas de penetración, encontramos que el sitio web de destino permite cargar archivos PDF y admite la vista previa en línea de archivos PDF. Sin embargo, muchos sitios web similares analizarán directamente el PDF llamando al navegador IE del sistema. En este momento, si están en el PDF Insertar código XSS malicioso ejecutable. Cuando el usuario obtiene una vista previa en línea, el XSS malicioso puede activarse y robar cookies del usuario y otra información de datos o realizar operaciones maliciosas. En este artículo, presentamos principalmente cómo construir código XSS malicioso en PDF e impleméntelo cargando PDF.Ataque XSS
Proceso de construcción
Paso 1: Descargue e instale "Swift PDF Editor"
Paso 2: crear un archivo PDF
Paso 2: haga clic en la pestaña "Página" a la izquierda, seleccione la miniatura de la página correspondiente y luego seleccione el comando "Propiedades de página" en el menú desplegable de opciones.
Paso 3: Haga clic en la pestaña "Acción" en el cuadro de diálogo "Propiedades de página", luego seleccione el comando "Ejecutar JavaScript" en el menú desplegable "Seleccionar acción" y luego haga clic en el botón [Agregar] para que aparezca el JavaScript. cuadro de diálogo del editor
Paso 4: guarde el documento y luego ábralo con un navegador
Desarrollo de habilidades
Podemos incrustar archivos PDF en páginas web y probarlos.
<html><body><object data="test.pdf" width="100%" heigh="100%"type="application/pdf"></object></body></html>
Arreglar
Como administrador o desarrollador de un sitio web, puede optar por forzar al navegador a descargar archivos PDF en lugar de permitir la navegación en línea o modificar el encabezado y las propiedades relacionadas de la configuración del servidor web. También puede utilizar un complemento de terceros para analizar PDF. sin utilizar el análisis de PDF propio de Chrome., https://github.com/adobe-type-tools/cmap-resources