T1027.006: HTML 走私

摘要

攻击者可能通过将恶意载荷隐藏在看似无害的 HTML 文件中，走私数据和文件以越过内容过滤器。HTML 文档可以存储称为 JavaScript Blob 的大型二进制对象（表示原始字节的不可变数据），稍后可将其构造为类文件对象。数据还可以存储在 Data URL 中，从而能够将媒体类型或 MIME 文件内联嵌入 HTML 文档中。HTML5 还引入了 download 属性，可用于发起文件下载。(Citation: HTML Smuggling Menlo Security 2020)(Citation: Outlflank HTML Smuggling 2018) 攻击者可能通过滥用 JavaScript Blob 和/或 HTML5 download 属性，经由 HTML 走私向受害者投递绕过安全控制的载荷。Web 内容过滤器等安全控制可能无法识别 HTML/JS 文件中走私的恶意文件，因为内容可能基于通常无害的 MIME 类型，例如 <code>text/plain</code> 和/或 <code>text/html</code>。恶意文件或数据可以通过 Data URL 和/或 JavaScript Blob 混淆并隐藏在 HTML 文件内部，并在到达受害者时被去混淆（即[去混淆/解码文件或信息](https://attack.mitre.org/techniques/T1140)），从而可能绕过内容过滤器。 例如，可以滥用 JavaScript Blob 在受害者机器上动态生成恶意文件，并可能通过滥用诸如 <code>msSaveBlob</code> 等 JavaScript 函数将其落盘。(Citation: HTML Smuggling Menlo Security 2020)(Citation: MSTIC NOBELIUM May 2021)(Citation: Outlflank HTML Smuggling 2018)(Citation: nccgroup Smuggling HTA 2017)