结论：疑似攻击者通过利用错误MIME type实现客户端欺骗。

涉及Telegram中的两个API功能——sendVideo和InputFile。

sendVideo中的video字段支持两种输入方式，“InputFile or String”，

- （String）传递一个文件 ID（以字符串形式）来发送存储在 Telegram 服务器上的视频（推荐做法）
- （String/InputFile）传递一个 HTTP URL（以字符串形式）以便 Telegram 从互联网获取视频
- （InputFile）使用 multipart/form-data 上传一个新视频。

问题出在第二种，InputFile - Sending by URL时，目标资源可以拥有一个自定义的MIME标签，以指示其他Telegram客户端应该以什么方式加载这个资源。

而这些不怀好意的.pyzw文件，（可能由于漏洞）在这里都被指定为了video/mp4，导致其他Telegram客户端将以播放器模式展示这个文件。



响应标头：>图1<
请求方json：

{
  "dcId": number,
  "location": {
    "_": "inputDocumentFileLocation",
    "id": "*",
    "access_hash": "*",
    "file_reference": [
      *, *, *, *
    ]
  },
  "size": 42,
  "mimeType": "video/mp4",
  "fileName": "***.pyzw"
}

Rosmontis's Daily🌸

结论：疑似攻击者通过利用错误MIME type实现客户端欺骗。

涉及Telegram中的两个API功能——sendVideo和InputFile。

sendVideo中的video字段支持两种输入方式，“InputFile or String”，

- （String）传递一个文件 ID（以字符串形式）来发送存储在 Telegram 服务器上的视频（推荐做法）
- （String/InputFile）传递一个 HTTP URL（以字符串形式）以便 Telegram 从互联网获取视频
- （InputFile）使用 multipart/form-data 上传一个新视频。

问题出在第二种，InputFile - Sending by URL时，目标资源可以拥有一个自定义的MIME标签，以指示其他Telegram客户端应该以什么方式加载这个资源。

而这些不怀好意的.pyzw文件，（可能由于漏洞）在这里都被指定为了video/mp4，导致其他Telegram客户端将以播放器模式展示这个文件。



响应标头：>图1<
请求方json：

{
  "dcId": number,
  "location": {
    "_": "inputDocumentFileLocation",
    "id": "*",
    "access_hash": "*",
    "file_reference": [
      *, *, *, *
    ]
  },
  "size": 42,
  "mimeType": "video/mp4",
  "fileName": "***.pyzw"
}

另外，Telegram Desktop的影片播放方式决定了Telegram Desktop将会把这些较小的视讯资源放置在本地下载目录，然后通过“执行”的方式来加载本地影片至内嵌播放器，这也就是为什么在用户点击这些“假影片”后会自动执行攻击者编写的代码。

hottg.com/Rosmontis_Daily/4632

11.1K viewsedited  Apr 12 at 09:57