【漏洞挖掘】——46、 CSV注入实践操作

作者：IT小白 | 2024-08-14 12:25:37

踩

csv注入

漏洞介绍

CSV公式注入(CSV Injection)是一种会造成巨大影响的攻击向量，攻击这可以向Excel文件中注入可以输出或以CSV文件读取的恶意攻击载荷，当用户打开Excel文件时，文件会从CSV描述转变为原始的Excel格式，包括Excel提供的所有动态功能，在这个过程中，CSV中的所有Excel公式都会执行，当该函数有合法意图时，很易被滥用并允许恶意代码执行

漏洞复现

简易测试

在Office的"文件->选项->信任中心"处开启"启用动态数据交换服务器启动"功能：

之后构造以下恶意载荷：

=1+cmd|' /C calc'!A0

之后模拟用户打开Excel文件：

发现载荷成功执行：

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/IT小白/article/detail/979713