当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-072097

漏洞标题：ThinkSAAS 2.2 存储型XSS

相关厂商：thinksaas.cn

漏洞作者： phith0n

提交时间：2014-08-12 20:21

修复时间：2014-11-07 20:22

公开时间：2014-11-07 20:22

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-12： 细节已通知厂商并且等待厂商处理中
2014-08-12： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-10-06： 细节向核心白帽子及相关领域专家公开
2014-10-16： 细节向普通白帽子公开
2014-10-26： 细节向实习白帽子公开
2014-11-07： 细节向公众公开

简要描述：

挖最后一个。。。然后干活去了。。。这个绕过和之前几个都不一样，各浏览器通用、无触发条件、可盗取cookie并getshell、绕过全局防过滤函数，非重复漏洞。

详细说明：

既然挖thinksaas，那么就看看他的富文本XSS究竟过滤好了没。
可惜还是让我失望了。不过也不是厂商的错，毕竟这东西确实很难做的完美。我会在漏洞修复处给一个很好解决方案。
先看原理吧。

function cleanJs($text) {
	$text = trim ( $text );
	//$text = stripslashes ( $text );
	// 完全过滤注释
	$text = @preg_replace ( '/<!--?.*-->/', '', $text );
	// 完全过滤动态代码
	$text = @preg_replace ( '/<\?|\?>/', '', $text );
	// 完全过滤js
	$text = @preg_replace ( '/<script?.*\/script>/', '', $text );
	// 过滤多余html
	$text = @preg_replace ( '/<\/?(html|head|meta|link|base|body|title|style|script|form|iframe|frame|frameset|math|maction|marquee)[^><]*>/i', '', $text );
	// 过滤on事件lang js
	while ( preg_match ( '/(<[^><]+)(data|onmouse|onexit|onclick|onkey|onsuspend|onabort|onactivate|onafterprint|onafterupdate|onbeforeactivate|onbeforecopy|onbeforecut|onbeforedeactivate|onbeforeeditfocus|onbeforepaste|onbeforeprint|onbeforeunload|onbeforeupdate|onblur|onbounce|oncellchange|onchange|onclick|oncontextmenu|oncontrolselect|oncopy|oncut|ondataavailable|ondatasetchanged|ondatasetcomplete|ondblclick|ondeactivate|ondrag|ondragend|ondragenter|ondragleave|ondragover|ondragstart|ondrop|onerror|onerrorupdate|onfilterchange|onfinish|onfocus|onfocusin|onfocusout|onhelp|onkeydown|onkeypress|onkeyup|onlayoutcomplete|onload|onlosecapture|onmousedown|onmouseenter|onmouseleave|onmousemove|onmouseout|onmouseover|onmouseup|onmousewheel|onmove|onmoveend|onmovestart|onpaste|onpropertychange|onreadystatechange|onreset|onresize|onresizeend|onresizestart|onrowenter|onrowexit|onrowsdelete|onrowsinserted|onscroll|onselect|onselectionchange|onselectstart|onstart|onstop|onsubmit|onunload)[^><]+/i', $text, $mat ) ) {
		$text = str_replace ( $mat [0], $mat [1], $text );
	}
	while ( preg_match ( '/(<[^><]+)(window\.|javascript:|js:|about:|file:|document\.|vbs:|cookie)([^><]*)/i', $text, $mat ) ) {
		$text = str_replace ( $mat [0], $mat [1] . $mat [3], $text );
	}
	return $text;
}


这是最新的富文本过滤函数。暂且不看满满的那些onxxx属性和标签，就看看<script>，哪里过滤了：
$text = @preg_replace ( '/<script?.*\/script>/', '', $text );
$text = @preg_replace ( '/<\/?(html|head|meta|link|base|body|title|style|script|form|iframe|frame|frameset|math|maction|marquee)[^><]*>/i', '', $text );
就这两处过滤了<script。
我来说说二处的缺陷，第一处没有用i修饰，所以可以用大写绕过。第二处把<script>替换成空，我可以<scr<script>ipt>绕过。
所以有些时候，你过于关注有什么标签、什么属性能触发XSS，然后用很细致地方法去过滤，比如这里后面的属性区域都用了while循环过滤。但却忽视了最简单的方式，也就是script标签，这才是最大的漏洞。

漏洞证明：

随便找一处可以插入富文本的地方，比如小组。
创建一个小组，描述处填写下面的POC：

<SCRI<SCRIPT></SCRIPT>PT>alert(1)</SCR<SCRIPT></SCRIPT>IPT>


01.jpg


查看小组的时候触发：

02.jpg

修复方案：

我曾经编写过一个php富文本xss过滤器，希望厂商可以参考使用。
http://phith0n.github.io/XssHtml/
在插入数据库的时候就用这个过滤器过滤，别在入库的时候用htmlspecialchars出库的时候再html_entity_decode，有点影响效率。

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-11-07 20:22

厂商回复：

这个漏洞上次已经修复了，只是下载版本还没有更新

最新状态：

暂无