当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-07519

漏洞标题：sina博客xss+csrf

相关厂商：新浪

漏洞作者： random_

提交时间：2012-05-25 12:39

修复时间：2012-07-09 12:40

公开时间：2012-07-09 12:40

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：3

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-05-25： 细节已通知厂商并且等待厂商处理中
2012-05-25： 厂商已经确认，细节仅向厂商公开
2012-06-04： 细节向核心白帽子及相关领域专家公开
2012-06-14： 细节向普通白帽子公开
2012-06-24： 细节向实习白帽子公开
2012-07-09： 细节向公众公开

简要描述：

allowScriptAccess有三个值，取sameDomain时是 AllowScriptAccess 的默认值。

详细说明：

allowScriptAccess有三个值，取sameDomain时是 AllowScriptAccess 的默认值。使用此设置，或者不设置，插入的媒体可以调用同域的资源：js,swf等。如果找到合适的js，就可以做意想不到的事了，如CSRF。

漏洞证明：

1. 这是sina博客的编辑器，源码模式可以插入代码，测试代码：

<embed src="http://tmxk.org" />
<a href="http://tmxk.org">http://tmxk.org</a>
<span onmouseover="javascript:alert(document.cookie)">alert(document.cookie)</span>
<img href="javascript:alert()" /> 
<iframe src="http://tmxk.org">
</iframe>
<form>
        <input type="text" />
</form>
<>


预览效果(未保存)：


保存后(遨游浏览器)：


插入了一个聊天室：
http://blog.sina.com.cn/u/2778335652


2. 利用思路：
插入别人的sina博客,可以是n多，调用删博客代码(或者别的sina自带js，如转发)，他来访问，他有权限，就删了他自己的博客。

修复方案：

这个csrf我自己还未证明，关键是怎么对待AllowScriptAccess="samedomain"，反正网易的是AllowScriptAccess="never"，仅供参考。

版权声明：转载请注明来源 random_@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2012-05-25 15:40

厂商回复：

感谢提供，与浏览器有直接关系

最新状态：

暂无

漏洞评价：

评论

  1. 2012-05-29 12:32 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    AllowScriptAccess="samedomain"，这里有个tips，embed标签解析swf文件的时候，是可以不考虑后缀的，比如jpg，gif，只要文件本身是swf文件就可以，so，，仅做为提示吧。

  2. 2012-06-05 19:18 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    embed不设置allowscriptaccess就挺危险的， embed插入网页的这个，在不少编辑器里是被忽视的，随着现在webkit内核的浏览器份额的增大，包括国内各种双核浏览器。危害还是挺明显的。