当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-059940

漏洞标题:新浪某界面dom型xss(二)

相关厂商:新浪

漏洞作者: 香草

提交时间:2014-05-08 19:11

修复时间:2014-06-22 19:11

公开时间:2014-06-22 19:11

漏洞类型:xss跨站脚本攻击

危害等级:低

自评Rank:5

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-05-08: 细节已通知厂商并且等待厂商处理中
2014-05-09: 厂商已经确认,细节仅向厂商公开
2014-05-19: 细节向核心白帽子及相关领域专家公开
2014-05-29: 细节向普通白帽子公开
2014-06-08: 细节向实习白帽子公开
2014-06-22: 细节向公众公开

简要描述:

前两天提交的该界面的一个漏洞,新浪很快就修复了,但是并没有完全修复,另外一处代码也存在问题。(说明,由于乌云会把\替换为\\,所以下文中的\都只有一半)。

详细说明:

为了方便大家分析,我在此先贴出javascript代码:

var par = location.search.substr(1),
ary = par.split("${}");
var type = ary[0],
src = sinaadToolkit.string.encodeHTML(decodeURIComponent(ary[1])),
link = sinaadToolkit.string.encodeHTML(sinaadToolkit.url.ensureURL(decodeURIComponent(ary[2]))),
width = parseInt(ary[3], 10) + 'px',
height = parseInt(ary[4], 10) + 'px',
monitor = ary[5] ? sinaadToolkit.string.encodeHTML(decodeURIComponent(ary[5]).replace(/</g, '').replace(/>/g, '')) : '';
var srcAllowDomain = ['sina\\.com\\.cn','weibo\\.com','sinaimg\\.cn'],
urlAllowDomain = ['sina\\.com\\.cn','weibo\\.com','allyes\\.com', 'admaster\\.com\\.cn', 'miaozhen\\.com'];
function checkDomain(url, allowDomain) {
var reg = new RegExp('^(http|https):\\/\\/([^\\/\\?#]+\\.)*(' + allowDomain.join('|') + ')(\\/|\\?|#|$)');
return reg.test(url);
}
if ((type === 'flash' || type === 'image' || type === 'adbox') && checkDomain(link, urlAllowDomain) && checkDomain(src, srcAllowDomain)) {
document.write(sinaadToolkit.ad.createHTML(
type,
src,
width,
height,
link,
monitor ? monitor.split('|') : []
));
}
window.blur();


对于参数链接合法性的检查是通过checkDomain函数进行的。但是此正则表达式有一个很经典的错误:

var reg = new RegExp('^(http|https):\\/\\/([^\\/\\?#]+\\.)*(' + allowDomain.join('|') + ')(\\/|\\?|#|$)');


这个正则的问题在于:

http://www.baidu.com\.sina.com.cn/


是可以匹配成功的,原因是\在javascript里面是转义字符,在正则表达式里面也是转义字符,正确的写法应该是:

var reg = new RegExp('^(http|https):\\/\\/([^\\\\/?#]+\\.)*(' + allowDomain.join('|') + ')(\\/|\\?|#|$)');


根据这段代码
if ((type === 'flash' || type === 'image' || type === 'adbox')
可以看出,type的取值可以是flash,image,adbox三个值之一。
当我们的type是flash的时候,第二次参数(arry[1])src会出现在embed的src里面,但是由于embed模式allowScriptAccess是someDomain也不能执行js。于是我继续测试type为adbox的时候。发现第二个参数会出现在iframe的src里,于是我们构造如下链接,绕过正则表达式过滤:

http://d1.sina.com.cn/litong/zhitou/sinaads/release/pbv5.html?adbox${}http://xxx.xxxx.com\.sina.com.cn/aaa.htm${}http://xx.xxx.com\.sina.com.cn/${}1370${}750${}x\x22


可以加载任意框架,可用作欺骗钓鱼,如图:

_10.jpg

漏洞证明:

可钓鱼:

_10.jpg


加载百度:

http://d1.sina.com.cn/litong/zhitou/sinaads/release/pbv5.html?adbox${}http://www.baidu.com\.sina.com.cn/aaa.htm${}http://xxx.sina.com.cn/${}1370${}750${}x\x22


_11.jpg

修复方案:

修改验证代码为:

function checkDomain(url, allowDomain) {
var reg = new RegExp('^(http|https):\\/\\/([^\\\\/\\\\?#]+\\.)*(' + allowDomain.join('|') + ')(\\/|\\?|#|$)');
return reg.test(url);
}

版权声明:转载请注明来源 香草@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:4

确认时间:2014-05-09 11:13

厂商回复:

感谢关注新浪安全,马上通知相应开发人员进行处理

最新状态:

暂无


漏洞评价:

评论

  1. 2014-05-08 22:01 | 香草 ( 实习白帽子 | Rank:99 漏洞数:14 | javascript,xss,jsp、aspx)

    我弄错了,只是在预览的时候才有转义斜杠的问题,发表后就没那个问题了

  2. 2014-05-09 11:15 | 新浪(乌云厂商)

    @香草 啥意思??

  3. 2014-05-09 11:50 | 香草 ( 实习白帽子 | Rank:99 漏洞数:14 | javascript,xss,jsp、aspx)

    @新浪 详见屈原《离骚》哈哈。本来想注册0x00的但是被人注册了

  4. 2014-05-09 11:54 | 香草 ( 实习白帽子 | Rank:99 漏洞数:14 | javascript,xss,jsp、aspx)

    @新浪 请问新浪怎样才能不走小厂商路线啊,每次都只有1rank

  5. 2014-05-09 13:12 | 香草 ( 实习白帽子 | Rank:99 漏洞数:14 | javascript,xss,jsp、aspx)

    @新浪 意思是乌云没有对斜杠进行转义

  6. 2014-05-09 16:42 | 新浪(乌云厂商)

    @香草 我也不清楚流程,你提交sql注入试试?

  7. 2014-05-16 17:17 | Lonely ( 实习白帽子 | Rank:72 漏洞数:27 | 人生如梦,始终都游不过当局者迷的悲哀。)

    好屌 ,提交 SQL 试试。 菊花什么的 随便爆。

  8. 2014-05-16 21:27 | 香草 ( 实习白帽子 | Rank:99 漏洞数:14 | javascript,xss,jsp、aspx)

    @Lonely SQL还是留给你吧,我还是专注xss

  9. 2014-05-29 17:19 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @香草 嗯,乌云的编辑器会自动把反斜杠转义,然后通过审核后又会转回来