漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017109
漏洞标题：淘宝某功能更新导致，可以xss，可以进行各种造假欺骗！
相关厂商：淘宝网
漏洞作者： px1624
提交时间：2013-01-09 10:24
修复时间：2013-02-23 10:25
公开时间：2013-02-23 10:25
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-09： 细节已通知厂商并且等待厂商处理中
2013-01-11： 厂商已经确认，细节仅向厂商公开
2013-01-21： 细节向核心白帽子及相关领域专家公开
2013-01-31： 细节向普通白帽子公开
2013-02-10： 细节向实习白帽子公开
2013-02-23： 细节向公众公开
简要描述：
今天在登陆淘宝旺旺时候，系统给我推送了一条消息，说是让我体验啥淘宝的新功能，就点进去体验了下，然后就体验出了以下的东东。。。
详细说明：
这个漏洞的危害：
1 XSS： 可以利用expreesion进行弹窗，钓鱼等。
2 欺诈造假： 可以任意修改淘宝卖家任何页面的内容（非自慰），比如卖家的信誉、店铺信誉、卖家的钻石和皇冠个数、店铺动态评分、交易量、评价数量等等。
详细说明
1 系统推送消息说是有啥新东西，就顺手点了下，进去领取了一个15天的啥模版还是啥体验的，忘记了。
2 然后让我体验啥新模版之类的东西，就顺手上传了一个图片到店铺logo(店铺招牌)处，随手charles抓包保存。
图1
3 看了下post数据，发现有一条请求是个图片地址，果断的先用F12去搜索了一下，发现那个地址存在于css中，看了下是用background:url(xxx.jpg)去显示的淘宝店铺的logo。
图2
4 顺手插了些特殊字符进去，发现过滤了"<>但是并没有过滤{}(),以及没有对提交的数据进行严格的判断。
5 于是先插了个expreesion弹了一下，发现可以正常弹窗，因为我没装IE6 IE7 所以这里是朋友帮我测试的，不截图了。下面是代码插入位置
6 随后就是随意修改淘宝页面的css了，可以是任何可以编辑的页面，因为淘宝的logo是存在于每个页面中的。所以猜测是可以影响到每个页面的，但是测试后发现并没有如此，貌似新版的每个页面的logo都是单独存在的，试了试的确是这样。由于item.taobao.com是动态加载的，所以不能显示www.taobao.com中logo处我们插入的css的效果。
图中红色部分是我们插入的恶意代码
7 不过没关系，发现从每个宝贝页面编辑的话（也是在logo处传图片，然后在css中插），就可以显示出来了。插图的时候，记得选择默认宝贝详情页。
图3
漏洞证明：
证据
1 这个霸气不？
图4
2 那么这个呢？好大一颗钻石！
图5
3 我承认我只是为了说明问题而已
图6
4 这个是宝贝页面修改css的证明（item.taobao.com页面的）
不知道前来买东西的顾客看到这个会不会吓一跳。。。
图7 图8
5 原来准备再发个改销量和其他页面信息的图，但是不知道淘宝传图怎么了，一直传不上去图了。所以这里提供下思路，你们自己测试。
思路：随便找一个页面中的空div然后用css去插入background:url() 配合使用绝对定位去覆盖原有位置的显示。
基本插入的代码如下（这里我在页面中找了几个空div）
比如像改下销量，就传一个销量的图，最简单的就是把别人销量多的图截图后传上去当背静利用。
那些修改宝贝价格，修改自己信誉度，好评度，销量之类的图，我也就不发了，你们懂的，都可以修改css内容了，这些都是可以随便改的。
如果到时候我这里传图正常了，淘宝还没确认（帖子可以编辑）的话，我再来补一下图。
剑心要是有时间的话，如果你那传图好着，麻烦给补一张。
最后再来看一下修改的post数据的位置的图
图9
That's all ！ Thank you ！！
修复方案：
在服务器端判断下那个图片地址。
过年了，本命年，求礼物，冲喜！
有么有礼物？俺认为应该有。元芳你怎么看？
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2013-01-11 09:47
厂商回复：
感谢您对我们的关注，此问题我们已经修复，稍后我们会有礼物送给你
最新状态：
暂无