漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013916
漏洞标题：腾讯向好友索要功能xss+疑似SQL注射。
相关厂商：腾讯
漏洞作者： Jannock
提交时间：2012-10-26 16:23
修复时间：2012-12-10 16:23
公开时间：2012-12-10 16:23
漏洞类型：CSRF
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-26： 细节已通知厂商并且等待厂商处理中
2012-10-26： 厂商已经确认，细节仅向厂商公开
2012-11-05： 细节向核心白帽子及相关领域专家公开
2012-11-15： 细节向普通白帽子公开
2012-11-25： 细节向实习白帽子公开
2012-12-10： 细节向公众公开
简要描述：
腾讯向好友索要功能xss，提交索要，点击后直接通过xss和上下文环境功能即可获得他人QB
另外提交索要处疑似SQL注射。
pay.qq.com 域名哦。。
详细说明：
http://pay.qq.com/service/ask_v2.shtml?sid=1&cm=bank&aid=vip.pingtai.pay.index.qqvip
向好友索要功能
当然不能像上图直接提交，因为js会被过滤，而是通过下面链接提交
http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB¬e=<script defer>alert(1);send.formCheck(0);</script>&uin=自己的Q号&month=3&askeduin=好友的Q号
当好友收到请求后，点击链接，即
我们看看原因
请处理以下索要信息： 页面中通过ajax请求获取索要的信息，然后通过 innerHTML形式设置内容，看下两图
由于显示信息页面没有处理好编码，因此造成漏洞。。
不过测试过程中发现，程序中过虑了 \ = 等，因此上述方式只能用于 IE 和 chrome 。其它浏览器需要绕过过滤执行js暂没研究。
疑似注入地址也是这个索要请求的地址
http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB¬e=x'&uin=自己的Q号&month=3&askeduin=好友的Q号
当存在 ' 时，返回出错
{ "resultcode": 20052, "resultinfo": "对不起，系统忙，请稍后再试。" }
初步猜是 insert 型注入点。。
可以试试
http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB¬e=x''&uin=自己的Q号&month=3&askeduin=好友的Q号
发送成功
而看到请求的信息中，
好友留言：
x'
即证明了这个注入点的存在。。
你们自己看吧。。。
漏洞证明：
上面说得很详细了，因为涉及到金钱，不便测试。。。
修复方案：
你们比我懂！
版权声明：转载请注明来源 Jannock@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2012-10-26 17:19
厂商回复：
非常感谢您的报告。我们会马上安排专人跟进确认处理，有新的情况会及时同步
最新状态：
暂无
漏洞评价：
评论
-
牛X
-
敏感功能里的漏洞可以增加一个评级了
-
丫的，第一时间就想到搞我，幸好我没QB。
-
@zeracker ......
-
很想测试那个注入的，但胆小，不敢。。。
-
我觉得腾讯评分标准挺乱的。
-
@kobin97 没事，乌云会加精……
-
注入和这样的都差不多，评分标准不一样。
-
哥，你已经淫了。
-
这个going down～～
( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])