当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-065759

漏洞标题：cmseasy最新版存储型XSS+代码分析（可绕过xss防护机制）

相关厂商：cmseasy

漏洞作者： roker

提交时间：2014-06-24 16:36

修复时间：2014-09-22 16:38

公开时间：2014-09-22 16:38

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-24： 细节已通知厂商并且等待厂商处理中
2014-06-24： 厂商已经确认，细节仅向厂商公开
2014-06-27： 细节向第三方安全合作伙伴开放
2014-08-18： 细节向核心白帽子及相关领域专家公开
2014-08-28： 细节向普通白帽子公开
2014-09-07： 细节向实习白帽子公开
2014-09-22： 细节向公众公开

简要描述：

cmseasy 5.5.0.20140605

详细说明：

bbs/ajax.php

$data = array();
      $_POST['content'] = unescape($_POST['content']);
      $data['aid'] = isset($_POST['aid']) ? intval($_POST['aid']) : exit(0);
      $data['tid'] = isset($_POST['tid']) ? intval($_POST['tid']) : 0;
      $data['content'] = isset($_POST['content']) ? $_POST['content'] : exit(0);
      $data['username'] = isset($_COOKIE['username']) ? $_COOKIE['username'] : '';
      //$data['userid'] = $admin->userid;
      $data['addtime'] = mktime();
      $data['ip'] = $_SERVER['REMOTE_ADDR'];
      $reply = db_bbs_reply::getInstance();
      $r = $reply->inserData($data);
      if($r){
      	  $archive = db_bbs_archive::getInstance();
          $archive->updateClickReply($data['aid'],'replynum');
......


看到unescape 函数。

function unescape($str) {
	$str = rawurldecode($str);
	preg_match_all("/%u.{4}|&#x.{4};|&#d+;|.+/U",$str,$r);
	$ar = $r[0];
	foreach($ar as $k=>$v){
		if(substr($v,0,2) == "%u"){
			$ar[$k] = iconv("UCS-2","UTF-8",pack("H4",substr($v,-4)));
		}elseif(substr($v,0,3) == "&#x"){
			$ar[$k] = iconv("UCS-2","UTF-8",pack("H4",substr($v,3,-1))); 
		}elseif(substr($v,0,2) == "&#"){
			$ar[$k] = iconv("UCS-2","UTF-8",pack("n",substr($v,2,-1)));
		}
	}
	return join("",$ar); 
}


有了 rawurldecode
所以提交 url格式编码数据。绕过remove_xss检测。再rawurldecode还原。即可xss
列如 %3Cscript%3Ealert(1)%3C%2Fscript%3E

c11.jpg


c5.jpg


漏洞证明：

如上所诉

修复方案：

修复

版权声明：转载请注明来源 roker@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-24 18:26

厂商回复：

马上修正

最新状态：

暂无