個漂亮的警告頁面模板，轉載自：折影輕夢，用來作為跳轉提示或者改一改用作404頁面什么的都挺好的，試試看吧！

效果圖

下面兩張圖是我改了改配色，你們看看效果

演示地址

https://www.tiezi.xyz/html/a1/tishi.html

模板下載

關注我的頭條號，然后私信回復 1270 ，即可獲取下載地址。

譯：overXsky

稿費：200RMB（不服你也來投稿啊！）

投稿方式：發送郵件至linwei#360.cn，或登陸網頁版在線投稿

概述

本周二，微軟推送了一個重大補丁，修復了許多個重大安全漏洞，極大地提高了Edge瀏覽器開發者及其安全性的聲譽。但我希望微軟能夠說服那些依然遵循荒唐的IE政策的守舊派，或者至少能夠公開的解釋一下他們為什么毫不關心IE——要么廢除它，要么保護它。

如果你還沒有看過之前的一篇《使用惡意軟件警告欺騙地址欄》，建議你在閱讀下面講如何繞過補丁的文章之前先去看一下。（注：有中文版本）

超快速回顧

微軟Edge允許我們加載它的一些包含.html頁面的內部資源，比如像acr_error.htm就可以，但是像BlockSite.htm這樣的卻不行。這是為什么呢？因為后者可以輕松地欺騙內部惡意軟件警告消息和地址欄。幾個月前，我們曾通過改變URL中的一個句點使其變成轉義副本的方法繞過了這一限制。不過現在這個漏洞已經被修復了，Edge開發者做了更改使得在進行檢查/字符串比較操作之前事先解碼了我們的欺騙URL。所以，我們現在需要找到一種新的方法。來吧！現在關掉手頭讓你分心的事物，投入時間并沉浸在這趣味無窮的比特世界中。

目前沒有符號名文件

微軟的很多公開符號都沒有上傳，所以我們就無法在極短的時間內出色地完成分析。但也不用太過擔心，不管怎樣我們都會盡力并成功繞過它。只需要以攻擊者的方式時刻在心中記住這一點：我們的目標是繞過這個補丁，就是這樣。而不是一直糾結于：“唉，我需要休息一周的時間直到微軟推送了符號名才行。”

查找并分析“BlockSite.htm”字符串

我們知道在海量的Edge代碼中，某個地方一定存在著對“BlockSite.htm”的字符串比較操作。將Edge附加到調試器上，找到這個字符串并在此處設立內存斷點，從而觀察哪段代碼樹讀取了它。

下面這行JavaScript代碼甚至都沒有打開一個新的窗口就拋出了“ACCESS_DENIED”拒絕訪問異常。

Edge這種阻塞內部URL的行為是合理的：這個特定的錯誤頁面能夠接受來自hash/query-string中的參數，這就給了攻擊者欺騙地址欄和頁面內容的可乘之機。

我們的目標是再次愚弄Edge打開該URL。然而，這次的任務中我們會使用下面的URL（經過編碼的句點和尾部的facebook，這樣方便在內存中找到字符串）

接下來就讓我們附加Edge進程然后查找BlockSite.htm字符串，并將搜尋范圍限制在EdgeHtml.dll模塊中，因為絕大多數的Edge代碼都駐留在此。這只是個猜測，如果我們沒有找到想要的結果可以嘗試搜尋其他模塊，甚至所有的Edge文件。

成功加載正確的Edge進程后，我們需要知道模塊的起始和結束位置，這樣才能在內存中以確定的范圍進行搜索。

看上去我們正處在內核模塊中，不要忘了我們的目標是找出EdgeHtml模塊中哪段代碼引用了BlockSite字符串。讓我們先看看棧軌跡中的最近的5次調用。

開頭兩個屬于內核模塊，接下來的三個都來自于EdgeHtml。說得更明白些，edgehtml中的一段代碼調用了內核模塊/庫中的StrStrIW函數，這看上去十分標準。快速地Google一下StrStrIW就能看到MSDN對其的說明文檔。

文檔相當清楚，也多虧了棧軌跡我們得知edgehtml調用了該函數。讓我們在Edge返回地址下斷點來分析到達該點前的代碼。（另外，我們還可以使用兩次pt命令，即跳至下一返回命令。可以自己試一試！）

哈！我們看到%2e（句點）已經被解碼了。這讓我感覺像是Edge調用了StrStrIW函數后檢查了“/assets/errorPages/BlockSite.htm”是否包含在URL中。這是我目前相信的偽代碼：

我們需要記住的很重要的一點是，之所以要調查這里是因為在字符串比較操作之后我們沒有看到別的檢查，而且比較操作就在我們面前，很快就將被執行。不過我們不用考慮的太多，只要能夠用類似的技術繞過就行了。

最主要的問題在于，此處的比較操作是使用硬編碼的字符串來進行的，但我們知道URL可以有很多種方式來寫。之前我們的辦法就是編碼一個句點，這次需要想出一種新的辦法，因為打補丁后會在作比較前解碼句點從而導致失敗。

現在我的腦海中浮現出許多種方式，比如多重編碼，或者在URL中加入更多的斜杠。讓我們試一試加入一個斜杠，可能能夠欺騙字符串檢查并被視為一個合法的URL。所以我們在errorPages后面加入一個斜杠，像這樣：

哇！好像一個簡單的雙斜杠就能繞過補丁并讓Edge加載錯誤頁面，讓我們構造一個更完善的查詢字符串來完全騙過惡意軟件警告頁面：

PoC驗證及后話

PoC鏈接：

https://www.cracking.com.ar/demos/edgesmartscreen/patch-bypass-1.html

打開后界面如圖所示：

使用方式很簡單，比如想要執行一個如下的JavaScript命令：

只需在第一個文本框中輸入“http://www.baidu.com”，第二個文本框中輸入“It's not safe, please use https://www.so.com/ instead”，然后點擊open smartsceen按鈕，就會彈出baidu.com不安全的警告：

試想一下，當普通用戶沒有防備地點擊了遭受攻擊的網站中的按鈕（比如導航網站的搜索引擎或者銀行登錄頁面），網站彈出一個警告頁面并甩出一個新的釣魚鏈接，然后用戶可能就中招了。

其實最后會發現繞過的方式十分簡單，并且十分有效，但發現并找到這一思路的過程值得學習。