Vecteurs d’attaques dans les codes-barres et QRcode

Vecteurs d’attaques de codes-barres

Parmi les codes-barres les plus répandus, les plus utilisés et les plus vulnérables, on dénote le code 93, le code 39 et 39 étendu, le code 128 A, B et C, et bien évidemment les QRcode. Ces codes disposent tous de charsets exploitables relativement complets (avec gestion de symboles) et peuvent représenter des chaînes de caractères assez importantes. Il suffit d’encoder un vecteur usuel d’attaque (XSS, SQLi…) sous sa forme de codes-barres pour évaluer la résistance d’un lecteur quelconque.

Code 93

• XSS standard alert()

code93 XSS

• SQLi standard bypass authentification

code93 SQLi

Code 39

Version simple avec URLencode

• XSS standard alert()

code39 XSS

• SQLi standard bypass authentification

code39 SQLi

Remarques :

• Le code 39 non-étendu ne permet pas l’utilisation d’un charset de symboles complet. C’est pourquoi les injections au travers de celui-ci peuvent se faire avec un encodage URLencode pour tous les caractères non pris en comptes.

Version étendue

• XSS standard alert()

code39e XSS

• SQLi standard bypass authentification

code39e SQLi

Code 128 version A, B ou C

• XSS standard alert()

code128 XSS

• SQLi standard bypass authentification

code128 SQLi

QRcode

• XSS standard alert()

qrcode XSS

• SQLi standard bypass authentification

qrcode SQLi

Génération de vecteurs personnalisés

L’ensemble des codes-barres précédents ont été réalisés à l’aide de l’outil en ligne d’irongeek. Il est possible d’y générer des codes-barres personnalisés, embarquant des vecteurs d’attaques destinés à des audits/pentest de votre choix.

Démonstration et PoC

Il ne m’est pas possible de faire une démonstration d’un de ces vecteurs d’attaques via les équipements de lecture de codes-barres présentés plus haut. Toutefois, pour illustrer le contenu de cet article dans un PoC fonctionnel, nous allons nous intéresser à la solution ScriptCam. Cette solution, sous forme d’un plugin JavaScript JQuery permet d’utiliser la webcam des ordinateurs communs à des fins de lecteur de codes-barres et en particulier de QRcode.

Le fonctionnement de ce plugin JQuery est de charger un module Flash qui peut interagir avec la webcam de l’utilisateur, afin de récupérer des images et d’en extraire des informations par la suite.

ScriptCam permet diverses manipulations de webcams, et l’analyse de codes-barres/QRcode n’est qu’une de ses fonctionnalités. Une page de démonstration de cette analyse est disponible sur le site officiel. Il suffit d’autoriser l’application flash à utiliser la webcam, présenter un QRcode à la caméra puis de cliquer sur « Decode image » pour visualiser le texte du QRcode juste à côté (sur l’exemple suivant, c’est l’url du site dans le QRcode) :

demo scriptcam

Imprimons et testons avec un QRcode exploitant un code JavaScript XSS (celui présenté un peu plus haut) :

PoC XSS ScriptCam

Le vecteur d’attaque XSS renfermé dans le QRcode s’injecte bien dans l’application et est interprété comme tel. Il est alors possible d’imaginer toutes sortes de scénarios d’attaques pour tout équipement qui peut lire des codes barres. Dans l’exemple, seule une alertbox est générée. Mais il aurait été possible de concevoir une injection Javascript qui automatiserait toutes les N secondes la prise d’une photo de la webcam, et de l’envoie de celle-ci sur un serveur annexe par exemple ; ou tout simplement la prise de contrôle du navigateur victime par le framework BeEF.

Conclusion et perspectives

Injection SQL, XSS, corruption de données, plantage de système… Les codes barres ont été sous-estimés comme vecteur d’injection, et le nettoyage (sanitization) des données extraites de ces codes bien trop souvent oublié.

Avec l’avènement du QRcode et son utilisation de plus en plus courante au travers des smartphones, les injections et attaques avec ces mécanismes se répandent de plus en plus. Il est nécessaire de prendre en compte ces considérations.

Les codes-barres et QRcode ne sont qu’un moyen d’appliquer des attaques informatiques sur des équipements physiques. Comme énoncé en introduction, d’autres équipements comme les caméras d’autoroute sont susceptibles d’être corrompues par des vecteurs d’attaques similaires. Bien d’autres applications au monde réel peuvent être exploitées ; à vous de les imaginer !

Edits

J’ai contacté le support de ScriptCam le 3 avril 2013 au matin pour les prévenir de cette petite injection XSS dans leur page de démonstration, bien qu’elle n’engendre pas un réel danger.  En l’espace de 15 minutes ils ont corrigé la vulnérabilité et m’ont fait un feedback de remerciement. Je retire mon chapeau quant à leur réactivité ! Le PoC précédent n’est donc plus exploitable à titre de démonstration sur ScriptCam.

Pour information, la correction portait sur la réinjection dans la page du contenu décodé du QRcode. Ils utilisaient la méthode html() de JQuery, qui interprète le contenu, plutôt que la méthode text().

Avant correction :

<button class='btn btn-small' id='btn1' onclick="$('#decoded').html($.scriptcam.getBarCode());">Decode image</button>

Après correction :

<button class='btn btn-small' id='btn1' onclick="$('#decoded').text($.scriptcam.getBarCode());">Decode image</button>

Sources & ressources

• SQL Injection in the Wild – Article from Gunter Ollman
• ScriptCam JQuery plugin
• MakeBarcode specifications
• IronGeek barcode generator