漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-069156
漏洞标题：中国农业银行官网网上银行存在多处跨站脚本攻击漏洞可执行任意JS脚本
相关厂商：中国农业银行网上银行
漏洞作者： 威马巡
提交时间：2014-07-21 11:13
修复时间：2014-09-04 11:14
公开时间：2014-09-04 11:14
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-21： 细节已通知厂商并且等待厂商处理中
2014-07-25： 厂商已经确认，细节仅向厂商公开
2014-08-04： 细节向核心白帽子及相关领域专家公开
2014-08-14： 细节向普通白帽子公开
2014-08-24： 细节向实习白帽子公开
2014-09-04： 细节向公众公开
简要描述：
看到中国农业银行官网的首页改版的公告后，我想看看我的网银行是否更安全，于是发现其网上银行网银用户登录处等存在多处跨站脚本攻击漏洞，可执行任意JS脚本，可能导致用户账号密码等被窍取等危害。
详细说明：
其实向乌云提交漏洞的另一个重要目的是想获取一个邀请码，以便进行业内技术交流。农业银行官网的跨站脚本攻击漏洞有多处，我是在IE8下试验的，后在IE9/IE10下进行了验证，这里暂且连带测试脚本提交2处漏洞吧：
1、https://easyabc.95599.cn/SelfBank/netBank/zh_CN/SelfHelpCheckCustInfoAct.ebf?certNo=&custName=eec1f"style%3d"behavior%3aurl(%23default%23time2)"onbegin%3d"alert(95588)"73ac79ec321&isReset=1&abc_formId=
这个漏洞点本为POST型漏洞，我将原始POST请求方式改为GET请求方式也成功了。由于IE环境中有style属性的动态评估表达式可以引入任意JavaScript到文档中，因此我在在URL中提交custName参数值 eec1f"style="behavior:url(#default#time2)"onbegin="alert(95588)"73ac79ec321，
然后看到custName请求参数的值被复制到HTML标签属性的值(封装在双引号中)，上述输入在应用程序的响应中未做改变地输出并得到执行，银行方的WAF也未做拦截，直接弹框了！如果进行少许改变，还可以执行其它命令的。影响：IE10以下浏览器。
2、https://easyabc.95599.cn/SelfBank/netBank/zh_CN/entrance/logonself.aspx?errorCode=04756"%3balert(95588)%2f%2f923
在URL的errorCode参数中提交04756";alert(95588)//923载荷，使errorCode请求参数的值被复制到封装在双引号中JavaScript字符串中 应用程序的响应中未做修改地输出了，同样弹警告框。这表明可以注入任意JavaScript到应用程序的响应中形成跨站脚本攻击。影响：IE10以下浏览器。
上述的漏洞因都处于网银行登录处，危害还是很大的，如果结合Beef，就可以做更多的坏事。
漏洞证明：
1、漏洞1的截图：
2、漏洞2的截图：
修复方案：
这类漏洞修复不能只告强大的WAF了，因为可执行的脚本千变万化，最好是在应用程序中进行输入验证。
版权声明：转载请注明来源 威马巡@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2014-07-25 22:06
厂商回复：
CNVD确认所述情况，已经转由CNCERT直接转报给网站管理单位，根据25日反馈 情况，已经修复。对于反射型跨站，rank 6
最新状态：
暂无