漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-063680
漏洞标题：秀吧存储型XSS(较鸡肋)
相关厂商：秀吧视频互动社区
漏洞作者： 0x_Jin
提交时间：2014-07-13 13:46
修复时间：2014-08-27 13:48
公开时间：2014-08-27 13:48
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-13： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
百度秀吧存储型XSS
详细说明：
问题出在 家族 - 议事厅的 回复里。
就以某个家族为例：http://www.xiu8.com/family_home?family_id=11090
选择任意一个主题 点击回复 在回复中输入 xss payload <img src=x onerror=alert(1)>
然后提交，便会发现弹窗了，但是点击主题的链接 就不行了 经过了转码，如下：
就以这个为例：http://www.xiu8.com/family/family_discuss?family_id=11090&toppic_id=652
会发现回复中的 payload 经过转码了！
按例先来加载个js试试，结果成功获取到cookie 未做httponly：
然后来看下问题是怎么造成的，首先打开chrome的控制台！
查看回复按钮的事件 发现是这样的：family_ys(0,652,137758203,0,0,11090);
然后再来溯源到 family_ys 函数：
结果很明显了，造成问题的原因在于 访问经过转码后的网页 然后eval了一下 导致我们的xss payload 执行！结果就出现了问题！
漏洞证明：
在 http://www.xiu8.com/family_home?family_id=11090 页面 打开console
执行 family_ys(0,652,137758203,0,0,11090) 即可！
修复方案：
转码后 别用eval 来解析 json了!
版权声明：转载请注明来源 0x_Jin@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝