[腾讯实例教程] 那些年我们一起学XSS – 14. Flash Xss入门 [navigateToURL]

漏洞概要

缺陷编号:WooYun-2012-016512

漏洞标题:[腾讯实例教程] 那些年我们一起学XSS - 14. Flash Xss入门 [navigateToURL]

相关厂商:腾讯

漏洞作者:心伤的瘦子

提交时间:2012-12-26 01:38

公开时间:2013-02-09 01:39

漏洞类型:XSS 跨站脚本攻击

危害等级:低

自评Rank:1

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-12-26: 细节已通知厂商并且等待厂商处理中
2012-12-26: 厂商已经确认,细节仅向厂商公开
2013-01-05: 细节向核心白帽子及相关领域专家公开
2013-01-15: 细节向普通白帽子公开
2013-01-25: 细节向实习白帽子公开
2013-02-09: 细节向公众公开

简要描述:

接下来,我们将讲解Flash Xss。由于乌云及社会各界的白帽子的上报,腾讯目前已经对绝大多数可能存在问题的Flash进行了修复。使得我在寻找真实案例时着实麻烦了不少。但是为了使得本教程足够完善和系统,我还是很艰难的找出了一些可以参考的例子。例子本身危害可能不大,但是希望能够借助例子给新手们描述清楚比较基本的东西。Flash的actionscript脚本目前网络上存在2种版本,即2.0与3.0,本次教程先以as3.0为例。同时教程还会在如何使用搜索引擎搜索,如何查找关键词及构造利用代码方面进行详细的讲解。

详细说明:

1. 首先,第一步,我们需要找到存在缺陷的FLASH文件。如何找到这类文件呢?最好的办法,当然是GOOGLE搜索。但是其实很多人是不太会用搜索引擎。或者知道怎么用,但是不知道该如何搜索关键词。因而教程的开始,我们来说一说,如何搜索关键词。2. 基本语句肯定是 site:qq.com filetype:swf意思是,限定域名为qq.com 文件类型为FLASH文件。3. 显然这样会搜索出很多FLASH文件,不利于我们后续的漏洞查找,所以我们需要输入某个关键词来进一步缩小范围。这里我列举一些寻找关键词的方式。3.1 已知存在缺陷的FLASH文件名或参数名,如:swfupload,jwplayer等3.2 多媒体功能的FLASH文件名,如:upload,player, music, video等3.3 调用的外部配置或数据文件后缀,如: xml, php 等3.4 前期经验积累下来的程序员特征参数名用词,如: callback, cb , function 等4. 结合以上经验,本例使用其中第三条:我们搜索:site:qq.com filetype:swf inurl:xml可以找到这个FLASH

5. 如果你对FLASH有一定了解或者你天资聪慧的话,通过以上地址,你或许能猜到这个FLASH会调用http://v.qq.com/doco/pic.xml这个XML文件的数据,为了看看是什么数据,我们可以使用抓包软件【这里我使用的是charles web proxy】来看看。

6. 我们看看http://v.qq.com/doco/pic.xml的内容,对应着FLASH来看。

7. 这里我们重点关注的是xml里的<link>结点。也就是当我们点击图片时,会跳转到link所指向的地址。8.接着我们先说下基础知识。要实现上面点击图片,打开链接的功能,在FLASH里通常以以下代码来实现的。当图片点击时执行 函数A函数A内容如下:

其中link就是被打开的链接。9. 但是这里存在一个问题,如果link是 "javascript:alert(1)"那么就可以执行JS代码了。这里的点击执行代码的效果类似于网页里的<a href="http://www.secevery.com:4321/bugs/wooyun-2012-016512/">点我弹出1</a>10. 基于以上基础知识,我们可以先来反编译一下腾讯的FLASH文件,看看是不是上面这样的。这里我用到的反编译软件是 actionscript viewer 2009。把下载好的FLASH文件,拖到软件里,然后把AS都保存出来,保存为文本文件。

如上图,我们可以看到AS代码具有目录结构,这种是AS3的。如果不是这样目录的样子,则是AS2的代码。由于我们要定位的是使用到 link 的代码。 我们打开保存的as代码,进行搜索。

可以看到,当点击图片时,直接将数据里的link作为参数传递到了 URLRequest中。11. 既然如此,我们把http://v.qq.com/doco/pic.xml 给下载下来,将xml文件里的 <link> 部分修改一下。

12. 上传修改后的pic.xml到我们自己的服务器。

13. 这样一来, 腾讯的http://imgcache.qq.com/liveportal_v1/swf/carousel.swf 就会跨域加载我们的 http://itsokla.duapp.com/pic.xml 文件。14. 既然是跨域加载,有必要说点基础知识。 FLASH跨域请求的流程大致如下:

15. 因而,我们要允许来自imgcache.qq.com的FLASH文件,访问我们的xml文件才行。在我们自己网站的根目录下,放置一个 crossdomain.xml

16. 最后,看看我们的效果。点击图片时,触发。

危害较小,仅供学习。

漏洞证明:

见详细说明

修复方案:

对XML中传入的link url进行正则判断或者限制加载第三方网站的XML文件

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:4

确认时间:2012-12-26 10:55

厂商回复:

非常感谢您的报告。这个问题我们已经确认,正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    沙发。。

  2. 2010-01-01 00:00 txcbg 白帽子 | Rank:391 漏洞数:52)

    等这个连载公开

  3. 2010-01-01 00:00 O.o 白帽子 | Rank:105 漏洞数:12)

    第一个快公开了=。=

  4. 2010-01-01 00:00 momo 白帽子 | Rank:80 漏洞数:16)

    广告位出租。

  5. 2010-01-01 00:00 se55i0n 白帽子 | Rank:1483 漏洞数:156)

    @心伤的瘦子 老湿呀,支持WB转帐提前看你发的全套教程不???

  6. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    楼上的去死,欺负我们没乌币,我连XSS平台都不舍的买。。

  7. 2010-01-01 00:00 shack2 白帽子 | Rank:452 漏洞数:63)

    胖子变瘦子,不知道瘦子又变啥……

  8. 2010-01-01 00:00 se55i0n 白帽子 | Rank:1483 漏洞数:156)

    @鬼魅羊羔 我买了,好奇害死猫呀~~~

  9. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @shack2 心伤的胖子、心伤的瘦子,,,下次来个心伤的屌丝。。

  10. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    前10.

  11. 2010-01-01 00:00 楼上是马甲 白帽子 | Rank:0 漏洞数:1)

    我想采访下lake2现在的心情

  12. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @楼上是马甲 心情一定无比郁闷~~PKAV已经在腾讯火了。。每次一打电话,肯定会问,“你是不是PKAV的”?

  13. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    @鬼魅羊羔 。。。直接去加入pkav吧。。这样你就可以骄傲的说,“我是的”

  14. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @px1624 人家不要。。我到是想进呢。。

  15. 2010-01-01 00:00 only_guest 白帽子 | Rank:685 漏洞数:74)

    @鬼魅羊羔 哦?我有说过不要么?亲.

  16. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @only_guest 可……可……可……你也……没说……过……要……啊~~~~~~

  17. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @only_guest 那我是不是可以理解成,我可以跟你们一起看AV了?

  18. 2010-01-01 00:00 only_guest 白帽子 | Rank:685 漏洞数:74)

    @鬼魅羊羔 先把你的种子都贡献出来!

  19. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @only_guest 。。我只有几个G的国产AV,各种学校、各种门、。。

  20. 2010-01-01 00:00 only_guest 白帽子 | Rank:685 漏洞数:74)

    @鬼魅羊羔 加入PKAV.然后贡献出来.我们帮你集中销毁!

  21. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @only_guest 喳!

  22. 2010-01-01 00:00 帅气凌云 白帽子 | Rank:295 漏洞数:51)

    @only_guest 听说有片就可以加入一起观摩了?那偶要为你们贡献偶硬盘里的片片~~

  23. 2010-01-01 00:00 假装纯情 白帽子 | Rank:6 漏洞数:1)

    做个记号~

  24. 2010-01-01 00:00 AntBean 白帽子 | Rank:6 漏洞数:2)

    太给力了!比书本详细多了啊!!ORZ

  25. 2010-01-01 00:00 啊L川 白帽子 | Rank:136 漏洞数:15)

    给力

  26. 2010-01-01 00:00 shen-0529 白帽子 | Rank:10 漏洞数:3)

    本来不是加载的腾讯的xml吗。。。怎么你下载下来 修改下 再传到你自己的网站 就加载你的了呢? SWF里记录的地址应该没有变吧。。

  27. 2010-01-01 00:00 lxj616 白帽子 | Rank:340 漏洞数:32)

    @shen-0529 直接url里面传参把xml地址传进去的,因此是在当前域下执行了由xml指定逻辑的flash,xml可以由url随意修改