当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2010-01003

漏洞标题:Taobao站内有Xss蠕虫蔓延

相关厂商:淘宝网

漏洞作者: dbgger

提交时间:2010-12-21 11:31

修复时间:2011-01-20 12:00

公开时间:2011-01-20 12:00

漏洞类型:钓鱼欺诈信息

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2010-12-21: 细节已通知厂商并且等待厂商处理中
2010-12-22: 厂商已经确认,细节仅向厂商公开
2011-01-01: 细节向核心白帽子及相关领域专家公开
2011-01-11: 细节向普通白帽子公开
2011-01-21: 细节向实习白帽子公开
2011-01-20: 细节向公众公开

简要描述:

如题.Xss蠕虫在大面积传播.
通过修改卖家主题等操作,进行传播.
头部的横幅flash.反编译,看到了恶意代码.

详细说明:

好像跟一个allyes.com的swf有关.
因为taobao.com所有的crossdomain.xml都允许allyes.com跨域
例如http://user.taobao.com/crossdomain.xml
但是在*.allyes.com众多二级域名中,随便入侵到一个,还是不难的.
那么假设在任何一个*.taobao.com中,找到一个phpinfo.
再在*.allyes.com里,控制一个swf文件.
那么.拿cookies.也是轻松的.
另外.httponly是无法阻挡这个操作的.
另外.taobao的验证机制,太过脆弱.cookies保存下来,只要随时在服务器上取一个新的cookies14的值,就可以用之前保存的cookies登陆.

漏洞证明:

前几天在逛无线网卡时候.看到两次.
但是没有记住地址.
但是头部的横幅flash下载下来后,反编译,看到了恶意代码.
虽然没有证据.但是的确是亲眼所见.
入侵者很可能利用了该漏洞在进行刷淘宝客的操作(抓包简单看了下内容.)
如需进一步争取,我可以试着提供.联系email: listshadow@163.com

修复方案:

建议crossdomain.xml严格控制.
控制swf脚本执行.

版权声明:转载请注明来源 dbgger@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2010-12-22 11:10

厂商回复:

感谢dbgger反馈,我们正在紧急处理中。

最新状态:

暂无


漏洞评价:

评论

  1. 2010-12-21 22:48 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    求flash

  2. 2010-12-22 10:51 | GaRY ( 实习白帽子 | Rank:39 漏洞数:3 | 真悲剧平男君)

    wooyun要加个新分类了吧,不能再叫入侵事件了。或者改名叫安全事件

  3. 2010-12-22 11:57 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    求flash

  4. 2010-12-22 23:25 | 往事如烟 ( 路人 | Rank:24 漏洞数:11 | 联系MAIL:121441@qq.com)

    ....求flash

  5. 2011-01-20 14:14 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    厂商怎么不给详细信息

  6. 2011-01-20 14:30 | 路人乙 ( 普通白帽子 | Rank:147 漏洞数:29 | 中国移动不厚道,说给礼品也不给!)

    求flash啊

  7. 2011-10-21 12:06 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活,亭长放解)

    allyes不是一两次杯具了吧

  8. 2012-01-31 08:39 | softbug ( 实习白帽子 | Rank:66 漏洞数:10 | 为人类设计最好的软件,解放人的双手,一起...)

    淘宝客是我见过最烂的联盟系统

  9. 2012-02-24 10:53 | Lee ( 普通白帽子 | Rank:113 漏洞数:24 | wataru@eviloctal.com)

    求flash

  10. 2013-01-03 20:44 | 暴暴 ( 路人 | Rank:9 漏洞数:2 | 呃。。。)

    啊呃。。。我还拿allyes刷过票。。。没想到可以用来搞TAOBAO。。