.NET 通过 Microsoft Jet 引擎访问受感染的 Excel 文件（带有勒索软件），这会影响或感染服务器吗？

Question

我们有一个简单的 ASP.NET Web 应用程序，它通过上传页面读取 Excel 文件并在数据库中插入行。 用户正在上传一个填充 MSSQL 数据库中的表的 Excel 文件。

我们正在通过这样一个简单的代码块读取 Excel 文件。

Dim con As New OleDb.OleDbConnection()
con.ConnectionString = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source= " & filePath & ";Extended Properties=Excel 12.0"
'Get data from Exel into a DataFile
Try
    con.Open()
    Dim cmd As New OleDb.OleDbCommand("SELECT * FROM [Sheet1$]", con)
    Dim da As New OleDb.OleDbDataAdapter()
    da.SelectCommand = cmd
    Dim ds As New DataSet()
    da.Fill(ds, "DataSet")
    Return ds.Tables(0)
Catch ex As Exception
    HttpContext.Current.Session("Error") = "err: " & ex.Message
    Throw ex
    Return New DataTable()
Finally
    con.Close()
End Try

通过我们的应用程序读取恶意 Excel 文件会感染运行页面的服务器吗？

Jet Engine 功能是否强大到在通过代码访问行时可能会运行嵌入在受感染的 Excel 文件中的恶意代码？

Answer 1

简单的答案是肯定的，这是可能的。 世界上有两种类型的恶意标准办公文档：

• 基于宏的恶意活动

在您的情况下，基于宏的受感染文件并不那么危险，因为它们是嵌入在文档中并由用户交互或您的应用程序中的某些代码触发的额外对象，它们会自动执行宏，所以如果您没有任何代码可以在办公文件中执行宏，不用担心被宏脚本感染的办公文件！

• 利用恶意活动

另一方面，受感染的文档包含针对某些错误或逻辑功能等的漏洞利用。这些文件非常危险，因为它们利用了文档的标准功能（如解析器）。因此，如果您解析此类文件的底层 API 或引擎实现并使用了被利用的此功能，您的程序可能会受到影响！

最后，如果您想保护服务器免受这种情况的感染，您应该实施或使用现有的沙盒产品，这些产品可以防止执行文件更改系统上的任何内容，并防止执行文件的网络和 IO 活动，以提高安全性最好不要直接在主服务器上在单独的机器或 VM 中进行解析过程，然后将结果返回给服务器。但总的来说沙盒解决方案就足够了。

例如，这里列出了一些仅通过谷歌搜索“Microsoft Jet driver Exploit”发现的 Jet 驱动程序漏洞：

• MS08-028
• CVE-2000-0325
• CVE-2005-0944
• CVE-2005-0944

也许它根本不会发生，因为安全专家在发布前流行软件和工具背后的代码审查、模糊测试、渗透测试和错误赏金，这就是为什么你看到底层流行软件和工具的漏洞利用如此之少的原因就像喷气机司机一样，但即使在安全方面，也没有什么是绝对的，没有人可以声称他的产品是安全的。

最后，这取决于您开发的平台以及安全性对您和您的产品有多重要。我的回答是学术性的，可能不会发生。但即使是绝对有可能的。所以你应该根据你的需要和风险选择最好的解决方案；）