当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-087974

漏洞标题:看我如何绕过百度xss修复问题从一个反射转换为存储(盲打cookies)

相关厂商:百度

漏洞作者: 贫僧只用飘柔

提交时间:2014-12-20 20:50

修复时间:2015-02-03 20:52

公开时间:2015-02-03 20:52

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-20: 细节已通知厂商并且等待厂商处理中
2014-12-22: 厂商已经确认,细节仅向厂商公开
2015-01-01: 细节向核心白帽子及相关领域专家公开
2015-01-11: 细节向普通白帽子公开
2015-01-21: 细节向实习白帽子公开
2015-02-03: 细节向公众公开

简要描述:

我已经在src上提交了N个漏洞了。。话说怎么同一个页面还是这个样子呢?

详细说明:

你永远不懂我伤悲。你更不懂夜的黑~

1.png

2.png

配合乌云某白帽子的ID后。在控制面板写入XSS代码,我们先来看下~这个代码:

<img src=1 onerror=alert(1);>

3.png

它没有过滤好<>然后可以同时看见img这个标签。那我们试下闭合标签看看能不能把这个XSS弄出来。构造出了这个代码

<img src=# onerror=alert(/wooyun/)>

4.png

过滤成这个样子了。。咋办呐?后来想到了配合两个img的标签的XSS代码可以进行后者弹窗。意思就是它已经把第一个标签过滤了。第二个却没有。

"><img src=x onerror=alert(1);>
<img src=# onerror=alert(/wooyun/)>

5.png

如图上面的

<img (1);="">

是空白的,下面的

<img )=""wooyun="">

很明显已经不同了~所以呢。。我们就。。。弹窗成功了!这样的话我们可以利用前者的过滤打cookies?构造下只要<img>标签配合的代码构造好了。之后我们在直接搞出XSS测试平台的代码就可以盲打了

7.png

8.png

漏洞证明:

这个是白帽子的ID:http://wooyun.org/whitehats/%E8%A2%8B%E9%BC%A0%E7%88%B8%E7%88%B8

6.png

修复方案:

版权声明:转载请注明来源 贫僧只用飘柔@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2014-12-22 14:32

厂商回复:

1.与之前src的回复相同,非存储型xss
2.有referer限制,直接访问这个url会跳转到首页

最新状态:

暂无


漏洞评价:

评论

  1. 2014-12-20 21:09 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    哇,大牛淫

  2. 2014-12-20 21:35 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了,跪着也要...)

    啦啦啦~

  3. 2014-12-31 22:10 | T0sk ( 实习白帽子 | Rank:34 漏洞数:27 | 低调求发展!)

    膜拜啊!

  4. 2015-02-03 21:02 | Nicky ( 普通白帽子 | Rank:477 漏洞数:69 | http://www.droidsec.cn 安卓安全中文站)

    楼主没明白XSS影响的域名为baiducontent.com 不是baidu.com 已经做好了隔离