环球观天下!Qt弱加密漏洞分析
Qt是一个跨平台的C++应用程序开发框架,用于创建图形用户界面(GUI)应用程序、命令行工具、嵌入式系统和网络应用等各种类型的应用。
Qt框架包含的Qt Network(网络模块),提供了QNetworkAccessManager 类,该类允许应用程序发送网络请求和接收回复。其在处理响应时,会根据服务器发送的“Strict-Transport-Security”的响应头来更新HSTS策略。
(相关资料图)
0x01 漏洞信息
0x02 漏洞影响
该漏洞存在Qt 5.15.14版本之前;6.2.9之前的6.X版本以及6.5.1之前的6.3.X-6.5.X版本。成因是Qt错误的解析了HSTS header,当大小写不匹配的时候,即使服务器明确禁止,客户端也会使用未加密的连接。
0x03 漏洞分析
首先需要介绍HSTS(HTTP Strict Transport Security),这是一种WEB安全策略。用来防止中间人和SSL/TLS剥离攻击。HSTS通过强制客户端(如Web浏览器)始终使用HTTPS来保护通信,即使用户手动输入的是HTTP网址。它通过在服务器的响应头中添加"Strict-Transport-Security"字段来实现。一旦浏览器收到带有HSTS头的响应,它将记住该网站必须通过HTTPS进行访问,并在未来的请求中自动将所有HTTP请求重定向到HTTPS。这样可以防止攻击者利用恶意重定向将用户导向不安全的HTTP连接。
随后进行漏洞分析与验证,笔者选择的是Qt6.2.4版本。
用来进行HSTS测试的网址为:hsts.badssl.com。
下述代码为使用QNetworkAccessManager对象发起HTTPS请求,该网站以HTTPS请求的时候会返回Strict-Transport-Security响应头。Qt会隐式的调用QHstsHeaderParser类解析HSTS header随后更新QHstsCache中的策略。
manager.strictTransportSecurityHosts函数能获取当前的HSTS策略。当执行到QObject::connect内时,可发现temp中添加了一项策略。
随后我们使用的http://hsts.badssl.com/会自动换成https://hsts.badssl.com/。由于本身QNetworkAccessManager发送多个网络请求的异步性,这里我们使用如下代码手动添加策略:
// 添加HSTS策略
QListhstsPolicies;
QHstsPolicy policy;
policy.setHost("hsts.badssl.com");
policy.setIncludesSubDomains(true);
QDateTime expiry = QDateTime::currentDateTime().addYears(1); // 设置过期时间为1年后
policy.setExpiry(expiry);
hstsPolicies.append(policy);
manager.addStrictTransportSecurityHosts(hstsPolicies);
之后发送HTTP请求:
此时的响应头是HTTPS请求的响应头。
后续客户端对该域名服务器的任何HTTP请求都将被隐式的转换成HTTPS请求。
但是当服务器返回的响应头的HSTS头部是Strict-Transport-security,此时Security的S变成了s。这时客户端便不会引入新的策略,从而导致了继续使用明文协议HTTP。
Qt是一个开源的软件,可以去定位相关的代码,笔者在netword/access/qhsts.cpp中发现了产生漏洞的代码。代码使用了==将响应头字段与Strict-Transport-security进行了比较,导致了大小写不匹配时,HSTS策略引入失败。
0x04 修复方法
Qt开发者对源码的修复如下:
当匹配Strict-Transport-Security字段的时候,使用大小写不敏感进行匹配。引入全小写的测试用例进行测试。用户可以通过使用新版本的Qt预编译库进行漏洞修复。
关键词:
推荐阅读
天然气泄露会造成爆炸吗?天然气泄漏怎么办?
天然气泄露会造成爆炸吗?家里用的天然气如果泄露是会发生爆炸的。当空气中含有混合天然气时,在与火源接触的一系列爆炸危险中,就会发生爆 【详细】
四部门明确App收集个人信息范围 个人信息保护范围判断标准
四部门明确App收集个人信息范围近日,国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合印发《常见类型移动互联网 【详细】
丰田致炫介绍 致炫威驰对比汇总
丰田致炫介绍参考价格: 6 88ー10 28W,基本参数: 1 3升 1 5升 5mt,5 3升 100公里。YARiS L致炫是YARiS L的替代传统车型,也是我们中国 【详细】
地中海气候特征是什么 地中海气候的形成条件?
地中海气候特征是什么?水分蒸发剧烈,导致水果中糖的堆积。冬季气候温和,有利于植物安全越冬,充足的水资源满足植物的需水量。1 气候特征 【详细】
我们知道太阳系的边缘是什么样的吗 外日光层标志着什么?
我们知道太阳系的边缘是什么样的吗?答案是肯定的,但这是一项正在进行的工作。最新的进展之一,是一张耗时 13 年制作的太阳系边缘3D 地 【详细】
相关新闻
- 环球观天下!Qt弱加密漏洞分析
- 固态电池大突破!我国首次实现室温全固态氢负离子电池的放电-全球时讯
- 小象的鼻子功幼儿故事在线听_练鼻子功的小象的故事
- 和顺县以“豹”为媒 深化省校合作 全球看热讯
- 全球要闻:皇马第3签已敲定:33岁中锋下周加盟,34场16球,先租后买
- 地摊生意做什么好(现在摆地摊做什么生意好呢?)
- 嘉诚新悦物业联合金百利实业共设九嘉物业,注册资本100万元
- 世界微速讯:密室逃脱怎么玩(密室逃脱怎么玩真人版)
- 787.18亿!苏州金龙海格汽车连续16年荣登中国500最具价值品牌榜 每日视点
- 聚焦:东风公司:抢抓新能源、智能网联新赛道新机遇
- 2023年5月内燃机行业销量回暖
- 申请多个微信号怎么申请(微信怎么申请多个账号)
- 闲谈“膀胱之战”-说《复仇者联盟4》 环球速看
- 特斯拉变相降价8000元,Model 3价格创新低? 快看点
- Win 11新版本,砍掉文件管理器10+项功能!|天天新资讯
- 天天速看:焦点访谈:“机器人+”加速前行
- 千元级最好用的4K播放器?芝杜Z9X使用体验
- 亚洲3国全球顶尖技术:韩国半导体,日本精密机床,中国有什么?
- 天天观点:迷你电脑彻底取代台式机?跑分超149万,零刻GTR7玩3A游戏无压力
- 安阳红旗渠机场试飞成功 全球即时看