Reflected File Download

Reflected File Download (RFD) 是一种漏洞，攻击者可以利用该漏洞创建网络钓鱼 URL 或页面，一旦有用户访问 URL 或页面，则开始下载包含看似来自受信任域的任意内容的文件。由于用户信任给定的域，他/她很可能会打开下载的文件，进而可能导致执行恶意代码。

为确保攻击者成功发动 RFD 攻击，需要满足以下要求：
- 目标应用程序在未经适当验证或编码的情况下反映用户输入。此类漏洞用于注入有效负载。
- 目标应用程序允许许可 URL。因此，攻击者可以控制下载文件的名称和扩展名。
- 目标应用程序的 Content-Disposition 标头配置错误，攻击者可以控制 HTTP 响应的 Content-Type 和/或 Content-Disposition 标头，或者目标应用程序包含 Content-Type（默认不会在浏览器中呈现）。

例如，如果应用程序使用 Spring Web MVC ContentNegotiationManager 动态生成不同的响应格式，则满足发动 RFD 攻击的必要条件。

ContentNegotiationManager 配置为根据请求路径扩展决定响应格式，使用 Java Activation Framework (JAF) 查找与客户端请求格式更匹配的 Content-Type。同时，客户端也可以通过请求的 Accept 标头中发送的媒体类型来指定响应内容类型。

示例 1：在以下示例中，应用程序配置为允许通过路径扩展策略和 Java Activation Framework 确定响应内容类型：

<bean id="contentNegotiationManager" class="org.springframework.web.accept.ContentNegotiationManagerFactoryBean">
  <property name="favorPathExtension" value="true" />
  <property name="useJaf" value="true" />
</bean>

示例 2：在以下示例中，应用程序配置为允许通过请求的 Accept 标头确定响应内容类型：

<bean id="contentNegotiationManager" class="org.springframework.web.accept.ContentNegotiationManagerFactoryBean">
  <property name="ignoreAcceptHeader" value="false" />
</bean>

请注意，Spring 4.2.1 的 ContentNegotiationManagerFactoryBean 属性默认值为：

- useJaf：true
- favorPathExtension：true
- ignoreAcceptHeader：falseExample 1 中所示的配置允许攻击者创建一个恶意 URL，例如：

http://server/some/resource/endpoint/foo.bat?input=payload

因此，ContentNegotiationManager 将使用 Java Activation Framework（如果在类路径中发现 activation.jar）尝试解析给定文件扩展名的媒体类型，并相应设置响应的 ContentType 标头。在此示例中，文件扩展名是“bat”，进而生成 application/x-msdownload 的 Content-Type 标头（尽管实际 Content-Type 可能因服务器 OS 和 JAF 配置而异）。因此，一旦受害者访问此恶意 URL，他/她的计算机将自动开始下载包含攻击者控制内容的“.bat”文件。如果随后执行此文件，受害者计算机将运行攻击者有效负载指定的任何命令。