当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-060303

漏洞标题:ThinkSAAS因过滤不严导致的存储型XSS(两处)

相关厂商:thinksaas.cn

漏洞作者: BadCat

提交时间:2014-05-12 12:02

修复时间:2014-08-10 12:04

公开时间:2014-08-10 12:04

漏洞类型:xss跨站脚本攻击

危害等级:低

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-05-12: 细节已通知厂商并且等待厂商处理中
2014-05-12: 厂商已经确认,细节仅向厂商公开
2014-05-15: 细节向第三方安全合作伙伴开放
2014-07-06: 细节向核心白帽子及相关领域专家公开
2014-07-16: 细节向普通白帽子公开
2014-07-26: 细节向实习白帽子公开
2014-08-10: 细节向公众公开

简要描述:

因某函数的过滤不严,导致存在存储型XSS

详细说明:

第一处XSS漏洞:
问题存在于 :

http://localhost/thinksaas/index.php?app=group&ac=create&ts=do


我们看看代码

//执行创建小组
case "do":

if($TS_APP['options']['iscreate'] == 0 || $TS_USER['user']['isadmin']==1){

if(intval($_POST['grp_agreement']) != 1){
tsNotice('不同意社区指导原则是不允许创建小组的!');
}

$groupname = t($_POST['groupname']);
$groupdesc = tsClean($_POST['groupdesc']);

if($groupname=='' || $groupdesc=='') {
tsNotice('小组名称和介绍不能为空!');
}

//过滤内容开始
aac('system')->antiWord($groupname);
aac('system')->antiWord($groupdesc);
//过滤内容结束

//配置文件是否需要审核
$isaudit = intval($TS_APP['options']['isaudit']);
if($TS_USER['user']['isadmin']==1){
$isaudit = 0;
}

$isGroup = $new['group']->findCount('group',array(
'groupname'=>$groupname,
));

if($isGroup > 0) {
tsNotice("小组名称已经存在,请更换其他小组名称!");
}
$groupid = $new['group']->create('group',array(
'userid' => $userid,
'cateid'=>intval($_POST['cateid']),
'cateid2'=>intval($_POST['cateid2']),
'cateid3'=>intval($_POST['cateid3']),
'groupname' => $groupname,
'groupdesc' => $groupdesc,
'isaudit' => $isaudit,
'addtime' => time(),
));
//上传
$arrUpload = tsUpload($_FILES['picfile'],$groupid,'group',array('jpg','gif','png'));

if($arrUpload){
$new['group']->update('group',array(
'groupid'=>$groupid,
),array(
'path'=>$arrUpload['path'],
'photo'=>$arrUpload['url'],
));
}

//绑定成员
$new['group']->create('group_user',array(
'userid'=>$userid,
'groupid'=>$groupid,
'addtime'=>time(),
));

//更新
$count_group = $new['group']->findCount('group_user',array(
'userid'=>$userid,
));
$new['group']->update('user_info',array(
'userid'=>$userid,
),array(
'count_group'=>$count_group,
));

//更新小组人数
$new['group']->update('group',array(
'groupid'=>$groupid,
),array(
'count_user'=>1,
));

//更新分类统计
$cateid = intval($_POST['cateid']);
if($cateid > 0){
$count_group = $new['group']->findCount('group',array(
'cateid'=>$cateid,
));

$new['group']->update('group_cate',array(
'cateid'=>$cateid,
),array(
'count_group'=>$count_group,
));

}
header("Location: ".tsUrl('group','show',array('id'=>$groupid)));
}
break;


$groupdesc 是由 tsClean 函数进行过滤的,来看看此函数代码

/**
* 过滤脚本代码
* @param unknown $text
* @return mixed
*/
function cleanJs($text) {
$text = trim ( $text );
//$text = stripslashes ( $text );
// 完全过滤注释
$text = preg_replace ( '/<!--?.*-->/', '', $text );
// 完全过滤动态代码
$text = preg_replace ( '/<\?|\?>/', '', $text );
// 完全过滤js
$text = preg_replace ( '/<script?.*\/script>/', '', $text );
// 过滤多余html
$text = preg_replace ( '/<\/?(html|head|meta|link|base|body|title|style|script|form|iframe|frame|frameset)[^><]*>/i', '', $text );
// 过滤on事件lang js
while ( preg_match ( '/(<[^><]+)(lang|data|onfinish|onmouse|onexit|onerror|onclick|onkey|onload|onchange|onfocus|onblur)[^><]+/i', $text, $mat ) ) {
$text = str_replace ( $mat [0], $mat [1], $text );
}
while ( preg_match ( '/(<[^><]+)(window\.|javascript:|js:|about:|file:|document\.|vbs:|cookie)([^><]*)/i', $text, $mat ) ) {
$text = str_replace ( $mat [0], $mat [1] . $mat [3], $text );
}
return $text;
}


只对一些标签和属性进行了过滤
因此 $_POST['groupdesc'] 可以插入XSS
构造个XSS代码

<marquee onscroll=alert(1)></marquee>


看以下的漏洞证明,代码执行了

Capture.JPG


第二处XSS漏洞:
问题存在于 : http://localhost/thinksaas/index.php?app=photo&ac=edit&ts=do

case "do" :

if ($_POST ['token'] != $_SESSION ['token']) {
tsNotice ( '非法操作!' );
}

$articleid = intval ( $_POST ['articleid'] );

$strArticle = $new ['article']->find ( 'article', array (
'articleid' => $articleid
) );

if($strArticle['userid']!=$userid){
tsNotice('非法操作!');
}

$cateid = intval ( $_POST ['cateid'] );
$title = tsClean ( $_POST ['title'] );
$content = tsClean ( $_POST ['content'] );


tsClean过滤不严导致 $title 和 $content可以插入XSS
构造XSS代码
<marquee onscroll=alert(1)></marquee>

漏洞证明:

第二处访问相册的时候会触发

Capture.JPG

修复方案:

建议使用htmlspecialchars 进行过滤

版权声明:转载请注明来源 BadCat@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:7

确认时间:2014-05-12 22:32

厂商回复:

感谢反馈,官网已经修复,等待下载版本的修复

最新状态:

暂无


漏洞评价:

评论

  1. 2014-05-12 15:12 | BadCat ( 实习白帽子 | Rank:81 漏洞数:21 | 悲剧的我什么都不会)

    妈呀又走小厂商