当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-034774

漏洞标题:360安全卫士某处缺陷导致本地命令执行漏洞

相关厂商:奇虎360

漏洞作者: 只抽红梅

提交时间:2013-08-20 07:47

修复时间:2013-11-18 07:48

公开时间:2013-11-18 07:48

漏洞类型:远程代码执行

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-08-20: 细节已通知厂商并且等待厂商处理中
2013-08-20: 厂商已经确认,细节仅向厂商公开
2013-08-23: 细节向第三方安全合作伙伴开放
2013-10-14: 细节向核心白帽子及相关领域专家公开
2013-10-24: 细节向普通白帽子公开
2013-11-03: 细节向实习白帽子公开
2013-11-18: 细节向公众公开

简要描述:

360安全卫士某处缺陷导致本地命令执行漏洞,最新版本上测试通过。

详细说明:

360安全卫士有个“360电脑专家”功能,可以聊天哦,来咱和智能机器人聊聊(我也不知道和真人聊天会是什么样的效果)。
输入:<xxoo>
在聊天窗口中直接显示 <xxoo>,看来不存在问题。
查看下聊天记录,却发现我们刚输入的那句是空白,这又不是浏览器,又没办法查看源代码,不过直觉告诉我们没有过滤的。聊天记录么,肯定是保存在本地的,拿出 Filemon 试试能不能找到。设置过滤,包含 "*360DiagnoseScan*;",再打开聊天记录,别说,还真找到了。在这里:
C:\Documents and Settings\Administrator\Application Data\SosClient\chat (我 xp 系统)
按时间保存的 html 文件:chat_20130819xxxxxxxxx.html,打开找到了我们的代码:

<font color="#0fb42d">我   xx:oo</font><p><font color="#333333"><xxoo></font></p></div><div><p></p><font color="#0032c8">360电脑专家   xx:oo</font>


看到没有过滤,既然是保存在本地的 html 中,权限么还是蛮大的,能不能执行命令呢,继续。
聊天有限制,只允许 30 个字符,一个英文和一个中文竟然同等对待,太不科学了。不过难不倒我们,我们构造如下的代码,分 5 次输入进去:

<script>/*
*/w=new ActiveXObject/*
*/("WScript.Shell");/*
*/w.run("cmd.exe");/*
*/</script>


通过 /**/ 注释掉乱七八糟的东西,保持我们代码的完整性,由于每次聊天都要从服务端返回信息,有一个时间差,所以我们以一个极快的速度连续输入我们的代码,就像下图一样:

360_1.png


来来来,赶紧点开聊天记录看看呢,多乖的窗口啊,就这么跳出来了。

360_2.png

漏洞证明:

360_2.png

修复方案:

写入聊天内容到本地文件之前进行一次编码处理。

版权声明:转载请注明来源 只抽红梅@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2013-08-20 12:14

厂商回复:

感谢乌云白帽子的反馈。该问题是360电脑专家聊天窗口的一个本地存储型XSS,只影响本地用户自己,因此危害等级评估为低。我们会尽快修复。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-08-20 08:29 | 78基佬 ( 实习白帽子 | Rank:84 漏洞数:20 | 不会日站的设计师不是好产品经理)

    吓尿了

  2. 2013-08-20 08:29 | 78基佬 ( 实习白帽子 | Rank:84 漏洞数:20 | 不会日站的设计师不是好产品经理)

    这个可以换1万块吧 在他们的cert那提交

  3. 2013-08-20 09:46 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    @78基佬 估计有限制的。

  4. 2013-08-20 11:01 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @78基佬 给cert提交好像不给钱的啊,为什么我的他们只给一个证?

  5. 2013-08-20 11:52 | 心伤的胖子 ( 普通白帽子 | Rank:308 漏洞数:29 | 因为心伤,所以胖子。)

    好屌的样子,目测 1 分?

  6. 2013-08-20 17:41 | 78基佬 ( 实习白帽子 | Rank:84 漏洞数:20 | 不会日站的设计师不是好产品经理)

    @wefgod 360的cert啊

  7. 2013-08-21 14:50 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @78基佬 360的啊……

  8. 2013-09-09 16:45 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    我去,那么给力的?存储型跨站可以这样执行cmd的??????明显是360的安全问题吧……

  9. 2013-09-18 17:09 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    那这么到底算是命令执行还是XSS,一般XSS没有执行本地CMD的权限吧。。

  10. 2013-09-18 17:09 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    那这么到底算是命令执行还是XSS,一般XSS没有执行本地CMD的权限吧。。

  11. 2013-11-19 09:09 | 大和尚 ( 实习白帽子 | Rank:49 漏洞数:5 | www.ieroot.com 积极向上的心态!百折不挠...)

    搜狗你可以把这挂到你的搜索页面上了.以及输入法上,以及你的好大个搜狐的主页上,以及你的卸载页面上.呵呵

  12. 2013-11-20 04:42 | 兔子。 ( 路人 | Rank:2 漏洞数:1 | 沉默是金。)

    表示 不用垃圾 360