漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2014-072097
漏洞标题:ThinkSAAS 2.2 存储型XSS
相关厂商:thinksaas.cn
漏洞作者: phith0n
提交时间:2014-08-12 20:21
修复时间:2014-11-07 20:22
公开时间:2014-11-07 20:22
漏洞类型:xss跨站脚本攻击
危害等级:高
自评Rank:15
漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2014-08-12: 细节已通知厂商并且等待厂商处理中
2014-08-12: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2014-10-06: 细节向核心白帽子及相关领域专家公开
2014-10-16: 细节向普通白帽子公开
2014-10-26: 细节向实习白帽子公开
2014-11-07: 细节向公众公开
简要描述:
挖最后一个。。。然后干活去了。。。这个绕过和之前几个都不一样,各浏览器通用、无触发条件、可盗取cookie并getshell、绕过全局防过滤函数,非重复漏洞。
详细说明:
既然挖thinksaas,那么就看看他的富文本XSS究竟过滤好了没。
可惜还是让我失望了。不过也不是厂商的错,毕竟这东西确实很难做的完美。我会在漏洞修复处给一个很好解决方案。
先看原理吧。
这是最新的富文本过滤函数。暂且不看满满的那些onxxx属性和标签,就看看<script>,哪里过滤了:
$text = @preg_replace ( '/<script?.*\/script>/', '', $text );
$text = @preg_replace ( '/<\/?(html|head|meta|link|base|body|title|style|script|form|iframe|frame|frameset|math|maction|marquee)[^><]*>/i', '', $text );
就这两处过滤了<script。
我来说说二处的缺陷,第一处没有用i修饰,所以可以用大写绕过。第二处把<script>替换成空,我可以<scr<script>ipt>绕过。
所以有些时候,你过于关注有什么标签、什么属性能触发XSS,然后用很细致地方法去过滤,比如这里后面的属性区域都用了while循环过滤。但却忽视了最简单的方式,也就是script标签,这才是最大的漏洞。
漏洞证明:
修复方案:
我曾经编写过一个php富文本xss过滤器,希望厂商可以参考使用。
http://phith0n.github.io/XssHtml/
在插入数据库的时候就用这个过滤器过滤,别在入库的时候用htmlspecialchars出库的时候再html_entity_decode,有点影响效率。
版权声明:转载请注明来源 phith0n@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2014-11-07 20:22
厂商回复:
这个漏洞上次已经修复了,只是下载版本还没有更新
最新状态:
暂无