当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-071676

漏洞标题：用另一个低级的漏洞向豌豆荚用户手机后台静默推送并安装任意应用

相关厂商：豌豆荚

漏洞作者： 我是小号

提交时间：2014-08-09 13:44

修复时间：2014-08-09 17:38

公开时间：2014-08-09 17:38

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：10

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-09： 细节已通知厂商并且等待厂商处理中
2014-08-09： 厂商已经确认，细节仅向厂商公开
2014-08-09： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

向豌豆荚用户手机后台静默推送并安装任意应用（2）

详细说明：

昨天提交了一个：
WooYun: 用一个低级的漏洞向豌豆荚用户手机后台静默推送并安装任意应用
这是CSRF引起的问题，而前端安全中还有一个和CSRF是好兄弟的漏洞类型：

Clickjacking（点击劫持）是一种视觉欺骗手段，在web端就是iframe嵌套一个透明不可见的页面，让用户在不知情的情况下，点击攻击者想要欺骗用户点击的位置


通过测试发现wandoujia.com域下所有网站都没有对ClickJacking做防护，即使你们修复了CSRF，利用这个漏洞还是可以造成同样的攻击效果。
#POC构造思路
在手机客户端安装豌豆荚且登录的用户可以通过豌豆荚网页版向自己的手机无数据线推送应用，很方便，但是因为没有对ClickJacking做应有的防御,可以构造POC网页
恶意网页有可能是一个网页游戏，也有可能是一个假的领奖页面，如下：

1.jpeg


看上去是个领奖页面，但是其实这个页面下面还覆盖了一层，我们将最上面这层设置为半透明，就可以看到实际上的底层页面了

02.jpg


其实领奖下面正好是“推送”按钮，只要用户在领奖上面Click了，那么其实就是进行了一个推送操作，当然最少上面这层其实是不透明的，用户也完全不知道自己做了这个操作，如果这时候手机链接了WIFI，就会自动开始接受这个安装包，当然如果手机是锁屏状态的话，屏幕不会自动亮起来，用户也完全不知道

3.jpeg


更加危险的是，豌豆荚还有一个后台静默自动安装的功能，带来了更加严重的风险

4.jpeg

漏洞证明：

POC代码：
链接: http://pan.baidu.com/s/1gd3RGC7 密码: qgu5
*仅作演示使用，没有做的过于精细，要攻击起来可以做的逼真，达到欺骗效果

修复方案：

国内几个大型网站很多业务都没有做ClickJacking的防御，可能是因为“攻击成本太高了”，但是一旦被利用，也会造成不小的危害，发这个报告另一个目的是为了证明ClickJacking不只是能用来给自己的微博微博刷刷粉的漏洞类型。
JS防御方案（核心思路是判断自身是否在网页框架的最顶层）

<head>
<style> body { display : none;} </style>
</head>
<body>
<script>
if (self == top) {
    var theBody = document.getElementsByTagName('body')[0];
    theBody.style.display = "block";
} else {
    top.location = self.location;
}
</script>


*其实我已经给你们的security邮箱发过报告了，只是你们一直不回复，还是发乌云上确认比较迅速

版权声明：转载请注明来源 我是小号@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2014-08-09 13:52

厂商回复：

昨天另一个用户黑椒小牛排饭 <>已经给我们报告了这个漏洞，我们正在评估和处理。感谢你俩/感谢你：）

最新状态：

2014-08-09：本想有结果了再反馈那个邮件呢，但昨天觉得CSRF那个优先级比较高，就先搞了。提交到哪里都是对豌豆荚安全的帮助，非常感谢。

2014-08-09：已修复

漏洞评价：

评论

  1. 2014-08-10 23:34 | Nero ( 路人 | Rank:0 漏洞数:4 | 我是一只小菜鸟，小呀小菜鸟~)

    学习了……不过撞洞的感觉让人心碎

  2. 2014-08-15 21:40 | 瓦解° ( 路人 | Rank:12 漏洞数:5 | web渗透学习小菜一枚。)

    看了下，这两个洞有什么不同之处吗？厂商给的rank也不一样。。