IMAGENES REALES QUE LANZAN JAVASCRIPTS SIN PREGUNTAR AL USUARIO

A pesar de ser una técnica ya conocida, está volviendo a utilizarse con
relativa frecuencia. Para un atacante, cualquier método es válido, desde
Javascripts adjuntos en un e-mail hasta documentos de Word con macros
ocultas. Esta vez, hablamos de un método que hace uso de JS, pero se
ejecuta sin que el usuario le dé tiempo a preguntar.

Esta vez nos centraremos en los ficheros SVG, para los que no los
conozcan, es un formato de gráfico vectorial cuyo formato esta expresado
en XML.

Un ejemplo de una imagen SVG que genera un círculo rojo de radio 50
pixeles:

<svg width=”130″ height=”130″>
<circle cx=”60″ cy=”60″ r=”50″ stroke=”black” stroke-width=”4″ fill=”red” />
</svg>

Si probáis esto en un navegador, obtendremos una imagen tal que así…

https://2.bp.blogspot.com/-CBc_Feb_R80/WJjBHY-AFwI/AAAAAAAAITY/do3Rsv5Z1lYvkzW8jQ5HGSkkg1YUCL3KACLcB/s1600/SVG_1.png

Una vez visto esto diréis: Bueno, parece útil. Nada más lejos de la
realidad, esto puede utilizarse con fines maliciosos…

Es posible introducir código JavaScript que se ejecutará conforme se
cargue la imagen, por lo que quedará camuflado para el usuario y no
necesitará confirmar nada para que este actúe.

Para ello, vamos a poner un ejemplo que no supone peligro para el
usuario, pero si demostrará lo que puede ocurrir:

<svg width=”130″ height=”130″>
<a xlink:href=”javascript:alert(location)”>
<script>
alert(‘Hola UAD! :}’);
</script>
<circle cx=”60″ cy=”60″ r=”50″ stroke=”black” stroke-width=”4″ fill=”red” />
</svg>

https://2.bp.blogspot.com/-gVpuLB9F3X8/WJjFqVpPMcI/AAAAAAAAITs/SI931PvFY8w5jklfCk2GDQL5VqNtID-yQCLcB/s640/SVG_2.png

Como veis, al abrir el contenido obtenemos la imagen correspondiente al
círculo y la ventanita avisando de que se ha ejecutado el JavaScript,
pero… ¿Y si no hubiese avisado al usuario? Podría haberse ejecutado
cualquier otra cosa de fondo, como la descarga de un archivo.

Afortunadamente, este tipo de técnicas tienen lugar dentro de la Sandbox
del navegador, por lo que no “deberían” escapar de este, sin embargo
pueden llegar a provocar una confusión en el usuario y ejecutar un
binario que el script oculto descargue, o ejecutar otro tipo de código
malicioso que actúe dentro del navegador de la víctima.

Ver información original al respecto en Fuente:
http://unaaldia.hispasec.com/2017/02/creias-que-las-imagenes-eran.html