漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-047790
漏洞标题：4399储存型xss，过滤器绕过（修补后绕过）
相关厂商：4399小游戏
漏洞作者： px1624
提交时间：2014-01-05 10:50
修复时间：2014-02-19 10:50
公开时间：2014-02-19 10:50
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-05： 细节已通知厂商并且等待厂商处理中
2014-01-06： 厂商已经确认，细节仅向厂商公开
2014-01-16： 细节向核心白帽子及相关领域专家公开
2014-01-26： 细节向普通白帽子公开
2014-02-05： 细节向实习白帽子公开
2014-02-19： 细节向公众公开
简要描述：
2013年1月发了一个4399的储存型xss，4399给我了一个悟空仔公仔，我送给了我侄女，她属猴的，表示很喜欢。时隔一年，2014年1月，我又去看了下那个xss，发现的确修补了，也有不少限制，但是还是可以绕过后xss。如何绕过，请看详细说明。
详细说明：
1 这个是一年前的绕过方法 http://wooyun.org/bugs/wooyun-2013-017858
2 测试了一下，这次对onxxx进行了循环过滤，目测这个点是绕不过去了。
3 然后我们尝试用expression，发现也有过滤，尝试ex/**/ression和ex\x70ression也会分别过滤为ex/.*/ression和ex.x70ression。
4 看起来过滤的挺严格的额，这里猜测是对字符串进行了判断，测试后发现这里可以用html编码绕过，将expression写为expression。
5 成功绕过，下面是谷歌下F12看到的代码和IE浏览器的弹窗。
6 不过只有IE可以触发貌似有点不给力额。谷歌下我们也可以利用谷歌特有的date协议进行绕过额。
利用代码：
<object data=data:text/html;base64,PHNjcmlwdD5hbGVydCgiaGFjayBieSBweDE2MjQiKTwvc2NyaXB0Pg==></object>
这样就可以通杀浏览器了，哈哈！
漏洞证明：
上面已经证明，具体危害利用见这个帖子 http://wooyun.org/bugs/wooyun-2013-017858
修复方案：
修补措施：建议对这里进行白名单过滤。你们的感谢信我现在还留着，还有礼物么？过年回去送人。
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2014-01-06 10:04
厂商回复：
非常感谢您的关注，该问题我们相关人员已经处理。
最新状态：
暂无