当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-049408

漏洞标题：盛大在线主站URL跳转(钓鱼)

相关厂商：盛大在线

漏洞作者： 隐形小桃

提交时间：2014-01-21 10:42

修复时间：2014-03-07 10:43

公开时间：2014-03-07 10:43

漏洞类型：URL跳转

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-01-21： 细节已通知厂商并且等待厂商处理中
2014-01-22： 厂商已经确认，细节仅向厂商公开
2014-02-01： 细节向核心白帽子及相关领域专家公开
2014-02-11： 细节向普通白帽子公开
2014-02-21： 细节向实习白帽子公开
2014-03-07： 细节向公众公开

简要描述：

虽然对跳转域名做了白名单的检查，但是可以通过一定的方法进行绕过。

详细说明：

1、先来看下首页底部的几个分站的跳转链接：

客服中心
http://www.sdo.com/common/RedirectAppSite?url=http%3A%2F%2Fkf.sdo.com%2Fsdch%2Findex.asp&name=%E5%AE%A2%E6%9C%8D%E4%B8%AD%E5%BF%83
关于盛大集团
http://www.sdo.com/common/RedirectAppSite?url=http%3A%2F%2Fwww.snda.com%2F&name=%E5%85%B3%E4%BA%8E%E7%9B%9B%E5%A4%A7%E9%9B%86%E5%9B%A2
盛大招聘
http://www.sdo.com/common/RedirectAppSite?url=http%3A%2F%2Fhr.snda.com%2F&name=%E7%9B%9B%E5%A4%A7%E6%8B%9B%E8%81%98
G买卖
http://www.sdo.com/common/RedirectAppSite?url=http%3A%2F%2Fgmm.sdo.com&name=G%E4%B9%B0%E5%8D%96
电子书
http://www.sdo.com/common/RedirectAppSite?url=http%3A%2F%2Fwww.yuncheng.com%2Fbb&name=%E7%9B%9B%E5%A4%A7%E7%94%B5%E5%AD%90%E4%B9%A6


1、截图如下

0_首页.png


2、随便点一个，就会前往负责URL跳转的页面，来看一下源码。发现会对参数传入的URL进行白名单检查。

<script type="text/javascript" src="http://ipic.staticsdo.com/external/install_beacon.js"></script>
<script src="../static/js/jquery.js?20131015001" type="text/javascript"></script>
<script charset="utf-8" src="../static/js/go.js?20131015001" type="text/javascript"></script>
<script type="text/javascript" >
    //document.domain="sdo.com";
    function redirect(){
        //检查是否白名单
        var locUrl = $_goUrlload.whiteList("http://kf.sdo.com/sdch/index.asp");
        if(locUrl == false){
            window.top.location.href = '/';
            return;
        }
        var appUrl = "http%3A%2F%2Fkf.sdo.com%2Fsdch%2Findex.asp";
        //window.top.location.href = appUrl;
        window.top.location.href = '/go#http://kf.sdo.com/sdch/index.asp';
    }
    setTimeout(redirect,3*1000);
</script>


2、截图如下

1_跳转页面源码.png


3、看到【http://www.sdo.com/static/js/go.js?20131015001】这个JS就是白名单，查看一下。

document.domain = "sdo.com";
var _white_list = ['sdo.com',
    'snda.com',
    'zx110.org',
    'cyberpolice.cn',
    'gov.cn',
    'shjubao.cn',
	'yuncheng.com',
	'qidian.com',
	'readnovel.com',
	'yunduan.cn',
	略……


3、截图如下

2_白名单JS.png

漏洞证明：

4、这个白名单和对域名的检查方式非常弱，只是检查URL这个参数传入的域名中是否含有白名单中的某一个，也就是普通的关键词匹配。这样做最大的问题就在于，而没有对该关键词出现的部分（域名或者参数）做检测。这样的话就得出了这种检测方式的绕过方法，如下：
http://www.sdo.com/common/RedirectAppSite?url=http%3A%2F%2Fwww.baidu.com?momo=sdo.com&name=momo
在跳转到baidu的时候，加上一个参数【?momo=sdo.com】，这样的话就可以通过这个白名单的检测。
4、截图如下

3_钓鱼URL.png


4_Fiddler.png

修复方案：

如坚持使用该跳转检查的方式，那么请对URL参数传入的的域名进行解析，分离出域名的部分和参数的部分，然后将域名部分和白名单进行对照。

版权声明：转载请注明来源 隐形小桃@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-01-22 10:00

厂商回复：

谢谢报告，万分感谢，但是呢洞主好像截图少了一张，链接打开时盛大在线会友情提示即将跳转，类似http:///lto?url=https:///elvanderb/TCP-，sebug这个算不算漏洞呢？

最新状态：

暂无