PDF Bypass ⚠️ | Cross-Site Scripting

La vulnerabilidad de Cross-Site Scripting (XSS) es uno de los problemas más comunes en el ámbito de la seguridad web, permitiendo a los atacantes inyectar código malicioso en páginas web vistas por otros usuarios. Una forma menos conocida pero efectiva de eludir las medidas de protección XSS es a través de documentos PDF. Este artículo explora cómo los atacantes pueden utilizar los documentos PDF para ejecutar scripts maliciosos, y ofrece consejos sobre cómo protegerse contra tales amenazas.

¿Cómo Funciona el Bypass de XSS con PDF?

Para eludir la protección de secuencias de comandos entre sitios (XSS) basada en PDF, los atacantes pueden incrustar secuencias de comandos maliciosas en acciones de JavaScript dentro del documento PDF. Estos scripts se ejecutan cuando el PDF se abre en un visor que es vulnerable a estas técnicas.

Técnicas de Inyección

Los documentos PDF pueden contener código JavaScript incrustado que se ejecuta automáticamente bajo ciertas condiciones. Los atacantes pueden aprovechar dos métodos principales para ejecutar sus scripts:

1. Entrada /JavaScript en el Catálogo del PDF: Al incluir un script dentro de la entrada /JavaScript del catálogo del PDF, el código puede ser activado cuando se abre el documento.

2. Atributo OpenAction: Este atributo se utiliza para especificar una acción que se debe realizar al abrir el PDF. Al establecer un script malicioso como acción de apertura, los atacantes pueden ejecutar automáticamente su código cuando el usuario accede al documento.

Ejemplo de Ataque

Aquí detallo un ejemplo válido que explota la combinación de un documento PDF, el cliente de correo electrónico Outlook y el navegador Google Chrome.

1. Creación del PDF Malicioso: Se crea un documento PDF con una entrada /JavaScript que contiene un script malicioso. Este documento es enviado como un archivo adjunto de correo electrónico a la víctima.

2. Interacción del Usuario: La víctima recibe el correo en Outlook y abre el archivo adjunto. Debido a la configuración de seguridad deficiente o a la falta de actualizaciones de seguridad, el visor PDF integrado en el sistema o en el navegador Google Chrome ejecuta el script.

3. Ejecutar el Script: Una vez abierto, el script incrustado puede realizar diversas acciones maliciosas, como redirigir a la víctima a un sitio web de phishing, robar cookies de sesión, o ejecutar otros ataques basados en la web.

Recomendaciones de Seguridad

Para protegerse contra este tipo de ataques, se recomienda seguir estas mejores prácticas:

• Descargar PDFs de Fuentes Confiables: Siempre descarga y abre documentos PDF de personas o fuentes confiables. Verifica la legitimidad del remitente antes de abrir archivos adjuntos de correo electrónico.

• Actualizar Software Regularmente: Asegúrate de que el software, especialmente los visores PDF y los navegadores web, esté siempre actualizado con los últimos parches de seguridad.

• Configurar las Opciones de Seguridad del Visor PDF: Revisa las configuraciones de seguridad de tu visor PDF para deshabilitar la ejecución automática de JavaScript. Muchos visores permiten ajustar la configuración de seguridad para mitigar estos riesgos.

• Implementar Políticas de Seguridad Estrictas: Las organizaciones deben implementar políticas de seguridad que limiten la ejecución de contenido activo dentro de los documentos PDF y capacitar a los empleados sobre las prácticas seguras al manejar archivos adjuntos.

Reflexión final

Eludir la protección de XSS a través de documentos PDF representa una amenaza significativa, especialmente para aquellos que no están al tanto de esta técnica. Los atacantes pueden explotar vulnerabilidades no solo en el navegador, sino también en aplicaciones de correo electrónico y otros visores de PDF. Mantenerse informado y proactivo en la aplicación de medidas de seguridad es crucial para protegerse contra estas amenazas.

Aviso: Asegúrese siempre de tener permiso para probar cualquier sistema o documento en busca de vulnerabilidades. La ejecución de pruebas de seguridad sin autorización es ilegal y poco ética.

PoC

Necesitas tener Python instalado en tu sistema, junto con la biblioteca PyPDF2. Puedes instalarla ejecutando: pip install PyPDF2

Codigo crearpdf.py:

from PyPDF2 import PdfWriter
# Creamos el escritor de PDF
pdf_writer = PdfWriter()

# Agregamos un objeto de JavaScript
js = "app.alert('XSS');"

# Añadimos el script de JavaScript al PDF
pdf_writer.add_js(js)

# Guardamos el archivo PDF
with open("xss_example.pdf", "wb") as output_pdf:
    pdf_writer.write(output_pdf)

print("Archivo PDF con XSS creado exitosamente como xss_example.pdf")

Explicación del Script

• PdfWriter: Crea un nuevo objeto PDF donde podemos añadir contenido.
• add_js: Permite agregar un script JavaScript al PDF.
• write: Guarda el archivo PDF con el script incrustado.