SVG在Web攻击中的应用( 三 ) _Web攻击

限制危险标签，比如script、foreignObject等。
限制通过SVG图像的外部链接加载资源。
限制SVG图像内的扩展逻辑。

我们使用一些浏览器来直接打开这些恶意SVG文件，对比结果如下图所示：

文章插图

大家可以访问我们的Github仓库下载本文使用的SVG样本。
0x04 参考资料
[1] W3C, “Scalable Vector Graphics” https://www.w3.org/TR/SVG2/ (02 September, 2019)
[2] OWASP, “The Image that called me” https://www.owasp.org/images/0/03/Mario_Heiderich_OWASP_Sweden_The_image_that_called_me.pdf (02 September, 2019)
[3] Blackhat, “Exploiting Browsers without Image Parsing Bugs” https://www.blackhat.com/docs/us-14/materials/us-14-DeGraaf-SVG-Exploiting-Browsers-Without-Image-Parsing-Bugs.pdf (02 September, 2019)
原文链接：https://www.anquanke.com/post/id/190651