漏洞详情

披露状态:

2014-08-11: 细节已通知厂商并且等待厂商处理中
2014-08-13: 厂商已经确认,细节仅向厂商公开
2014-08-16: 细节向第三方安全合作伙伴开放
2014-10-07: 细节向核心白帽子及相关领域专家公开
2014-10-17: 细节向普通白帽子公开
2014-10-27: 细节向实习白帽子公开
2014-11-09: 细节向公众公开

简要描述:

你们防护做的挺好,我X的十分不容易,加上漏洞影响,自评16rank/*,*/
走小厂商又只有1/4rank不如给20吧 —,—

详细说明:

#1 先来个 反射型xss 当开胃小菜
地址:http://demo.74cms.com/jobs/jobs-list.php?key=%c0%22;eval(String.fromCharCode(97,108,101,114,116,40,100,111,99,117,109,101,110,116,46,99,111,111,107,105,101,41))//
影响:通杀全部浏览器
详情:
主页搜所后源码定位

360截图20140808143058203.jpg


搜索框有一定的限制,直接在key输入想写的语句http://demo.74cms.com/jobs/jobs-list.php?key=
输入引号会闭合会被过滤为"因为是gb系列编码,引号前面输入%c0把杀死就ok了
起初我以为;分号也被过滤,地址栏把分号换为换行符%0a同样执行。

360截图20140807232923734.jpg


#2 这里过滤严格,让我十分蛋疼
地址:http://demo.74cms.com/train/train-agency-show.php?id=36
影响:所有版本IE(测试了6-8)
详情:

360截图20140808150416656.jpg


机构名称出写入"style=a:expre/**/ssion(alert(1))就可以绕过过滤了。

360截图20140808150627843.jpg


这是我们可控的地址,很不幸过滤的很完善,我测试时差点放弃,3种弹框全被杀,还有其他诡异情况。

360截图20140808152204000.jpg


顺便说下,本来我想的是插入width和height加大图片面积,再插入个事件,
后来准备利用eval,但是好像长度不够,但长度可以firebug或者抓包突破,应该可以通杀浏览器了,我现在太疲惫就不在测试了。

漏洞证明:

你们好好修复吧。

360截图20140808145723671.jpg


修复方案:

引号过滤,你们过滤很完善,但可能有些许遗漏,比如eval之类的
感觉我说的很清楚了呢。
提交bug好卡,传个图片10分钟。

标签: none

评论已关闭