当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-097803

漏洞标题：58同城旗下核心业务存储型xss（已打到cookie）

相关厂商：58同城

漏洞作者： 小龙

提交时间：2015-02-20 10:20

修复时间：2015-04-06 10:22

公开时间：2015-04-06 10:22

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-02-20： 细节已通知厂商并且等待厂商处理中
2015-02-23： 厂商已经确认，细节仅向厂商公开
2015-03-05： 细节向核心白帽子及相关领域专家公开
2015-03-15： 细节向普通白帽子公开
2015-03-25： 细节向实习白帽子公开
2015-04-06： 细节向公众公开

简要描述：

叫哥，给你看细节，我可以说这个业务涉及钱了吗……

详细说明：

首先看有多少人上班浏览色情网站被开除

SOGOU_CLIP_SCREEN_1424393026875.jpg


http://m.sogou.com/web/searchList.jsp?keyword=%E4%B8%8A%E7%8F%AD%E4%B8%8A%E8%89%B2%E6%83%85%E7%BD%91%E7%AB%99%E5%BC%80%E9%99%A4+news&pid=sogou-brse-a8166da05c5a094f


在旗下"58到家" App客户端哪里反馈或者下单的时候输入恶意js
大过年的上班突然自动打开了一个黄色网站……
不要怕，这不是木马，这是xss
直接获取cookie

location : http://m.jzt.58.com/question?cate=xsg
toplocation : http://m.jzt.58.com/index
cookie : id58=05dz8FTPUPSeTUKtD4N7Ag==; agent_info="agent_info=8013@58dj,gateway,123abc,http://10.248.1.252,guohaimei,guohaimei"; daijiawww58com="username=guohaimei"
opener :


大过年的。被开除了就不好了。
爪机党，不测试了
死循环弹框，色情网站跳转，居家必备的好东西

</title> </head> <body onLoad=parent.location=我是一个黄色网站，我也可以是一个挂马的网站 > </body> </html


然后坐等cookie 由于她这个涉及钱的，所以每天8点就会上岗服务

漏洞证明：

大网站安全一定要做好！加油，并预祝58新年快乐

修复方案：

http://www.58daojia.com/phoneindex/kaichuangzhe.html
过滤特殊符号，用户输入的东西总是有害的
这是官方地址下载的app 昨晚刚下载，最新版本

版权声明：转载请注明来源 小龙@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2015-02-23 13:16

厂商回复：

感谢对58安全的关注，会尽快核实解决此问题。由于后台已经做了动态口令认证，盲打危害较低，故评分6分。另外感觉白帽子小伙伴太幽默了，说了半天色情网站让我一愣一愣的，原来重点在后半部分！

最新状态：

暂无