当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-095607

漏洞标题:音悦台空间日志正文存储型XSS(可被利用登陆任意用户账号)

相关厂商:音悦台

漏洞作者: 我是小号

提交时间:2015-02-04 16:21

修复时间:2015-03-21 16:22

公开时间:2015-03-21 16:22

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-02-04: 细节已通知厂商并且等待厂商处理中
2015-02-04: 厂商已经确认,细节仅向厂商公开
2015-02-14: 细节向核心白帽子及相关领域专家公开
2015-02-24: 细节向普通白帽子公开
2015-03-06: 细节向实习白帽子公开
2015-03-21: 细节向公众公开

简要描述:

可获取cookies登陆任意用户账号(无hgttp-only flag)

详细说明:

#1.音悦台空间日志处是一处典型的富文本编辑器很容易发生XSS攻击
其中有一个插入视频的功能,点击发现只能插站内的视频资源

00.png


真的只能插站内的资源?不急我们先插一段站内的资源看看前端是怎么输出的

066.png


可以看到站内资源在<embed>标签内被输出了,而且令人激动的是allowscriptaccess的设置是always,也就说明任何域的恶意swf文件只要能插入都能跨到音悦台的cookies
#2.编辑器内无法插入,那就使用Fiddler抓包查看并修改请求

02.png


将src属性引用我们自己的恶意swf,把allowscriptaccess修改为always,然后提交,返回状态200,代表成功了!看来音悦台的编辑器仅在编辑器内进行了网址判断。

漏洞证明:

POC页面:

http://i.yinyuetai.com/8982483/blog/detail/809812


跑到前台页面看了一下,成功弹出窗口,document.domain证明是i.yinyuetai.com域下的

01.png


当然下面怎么利用就很简单了,因为音悦台还没有做http-only(无Http-only flag)的措施所以导致可以利用这个漏洞获取cookies然后登陆指定用户的账号了

07.png

修复方案:

在后端对<embed>标签的src引用进行判断

版权声明:转载请注明来源 我是小号@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2015-02-04 17:19

厂商回复:

谢谢关注音悦台,已通知相关同事处理。稍后将联系发送礼物

最新状态:

暂无


漏洞评价:

评论