xfocus logo xfocus title
首页 焦点原创 安全文摘 安全工具 安全漏洞 焦点项目 焦点论坛 关于我们
English Version

Baltimore's WEBSweeper 脚本过滤软件存在多个漏洞


发布时间:2001-08-13
更新时间:2001-08-13
严重程度:
威胁程度:欺骗
错误类型:输入验证错误
利用方式:服务器模式

受影响系统
Baltimore's WEBSweeper Script filtering
详细描述
WEBsweeper 是Baltimore Technologies公司的WEB内容解决方案,
可以实现针对WEB,HTTP和被动FTP传输的内容安全管理。其中存在
几个漏洞可以导致攻击者可以绕过这些限制:

1)通过在SCRIPT标志前增加"<"符号,可以绕过限制,如:

<<SCRIPT language="javascript">
alert("This should have been filtered");
</SCRIPT>

2)特殊的HTML代码如:

<SC<SCRIPT language="javascript"> </SCRIPT>RIPT language="javascript">
alert("This should have been filtered");
</SCRIPT>

WEBsweeper会过滤成如下所示:

<SCRIPT language="javascript">
alert("This should have been filtered");
</SCRIPT>


3)WEBSweeper不限制使用扩展UNICODE符号组成的内容,因为
如果把字符串"<SCRIPT"转换成扩展UNICODE符号,WEBSweeper
将不认识这种符号而被绕过。

测试代码
见描述部分。

解决方案
尚无

相关信息
http://www.edviceSecurity.com
support@edviceSecurity.com