RootDev@blog:~$

displayname es el parámetro que se puede utilizar para suplantar la ubicación y mostrarla, por ejemplo, en este caso google.com (sus víctimas pueden creer que el navegador hace la búsqueda en google.com)

Si ponemos esta URL directamente en la barra de direcciones de Safari este navegador dice que no puede abrir esta URL porque que no conoce el programa asociado.

Pero si ponemos esta url en un iframe, safari no muestra ninguna advertencia y ejecuta esta url y busca dentro de los archivos de la víctima.

Si ponemos esta url a Firefox, muestra una advertencia, y si hacemos click en permitir, esta búsqueda se ejecuta, si pasamos la url en un enlace o en un iframe el resultado es el mismo.

Con Google Chrome si pasamos la url a la barra de direcciones, Chrome busca en google esta url (y no se ven afectados directamente) pero si ponemos la url en un iframe o en un enlace, muestra una advertencia, por lo tanto; se haría click en permitir y la búsqueda se ejecutaría.

En IE8 muestra una advertencia, pero la búsqueda no se ejecuta, porque este explorador es incorrecto, podemos ponerlos en otros exploradores y funcionan bien.

Cuando explorer.exe está activo, el proceso es llamado con el siguiente parámetro:

esta "inyección" se ejecuta a nivel de comandos => c:\windows\explorer.exe /separate,/idlist,%1,%L

He estado haciendo varias pruebas intentando tratar de obtener esta otra línea de comandos =>

c:\windows\explorer.exe /N,%windir%\system32,
/select,%windir%\system32\calc.exe

pero en este momento; no quiero dejar pasar esta línea de comandos en un iframe con la búsqueda ms-protocol.


¿Un usuario remoto puede recoger el resultado de esta búsqueda en modo local?

No, no conozco ningún modo de hacerlo, pero por ejemplo, podemos causar un DoS en el explorador simplemente creando un documento HTML con tres o cuatro iframes que exigen la búsqueda ms y puede causar la lentitud del PC o un abuso de búsqueda indexada o la petada de explorer.exe.

En un enlace con sólo poner el protocolo de búsqueda-ms: con tres o cuatro ventanas del explorador, puede causar un abuso de la memoria, y en algunos casos explorer.exe puede petar.

Yo suelo intercambiar algunos correos de MSRC (Microsoft) y la conclusión final que he sacado es: que creemos que en este momento esto no suponga una vulnerabilidad de la seguridad en IE8, ya que muestran la alerta, y no hemos encontrado un vector de ataque o alguna forma de eludir la restricciones en la aplicación búsqueda-ms para convertirlo en un acceso remoto o una ejecución remota de código.

Esta es la última respuesta de Microsoft:

#######################################

We have completed our investigation into this issue
and believe there is not a security issue here for
Microsoft to address. Our investigation has not shown
any method whereby a search-ms URL could either execute
arbitrary code or return search results to a third party.
Although additional search windows can be generated from
multiple iframe on a web page, this is a temporary DoS
condition. We can find no security issue with the search-ms
protocol itself. As such, this is not something MSRC would track.

Please let me know if you feel we have missed something
in our analysis. Otherwise, I will be closing the MSRC
case down. I do appreciate you taking the time to report
this to us and working with us throughout the investigation.
########################################

pero si recordamos que cuando llamamos a la búsqueda ms-protocolo en una página web se ejecuta lo siguiente:

c:\windows\explorer.exe /separate,/idlist,%1,%L