中国网络渗透测试联盟

标题: 关于腾讯客服开放平台的2个漏洞+附属漏洞1个 [打印本页]
作者: admin    时间: 2013-1-11 21:04
标题: 关于腾讯客服开放平台的2个漏洞+附属漏洞1个
漏洞名称：腾讯客服开放平台 后台绕过

一、详细说明：% X8 D* \  L5 t5 K
登录部分通过noPermiss(js)

http://347.kf.ieodopen.qq.com/admin/js/index.js?v=20121007

因为*.kf.ieodopen.qq.com域名开通的数字代表应用编号 所以我认为这属于框架性漏洞例如1.kf.ieodopen.qq.com也存在此漏洞

JavaScript
2 Q: _# L, B5 V3 c4 @
4 t, e) |. y; v, Z" ?7 x, A
1 \$ N/ d3 i; C; N
1
$ Z3 L4 e( w9 i: R! c1 a
2
7 o" k. A9 m; \' y
3
+ Z9 N- i& ^# l
4
/ G" ?/ R/ s# M/ ]4 p0 \
5
; H% P- f* {5 `
6
# d! j  [. y! a* Y% U
7
0 U. m) |$ Y6 \2 ^4 D
8

9 S9 ]1 o2 y) b: r+ `
9
% L0 ~* a. ~, u; w5 }$ e
10
6 }6 h' w7 T& a+ E/ L
11
5 n2 X# F% _( W% C/ F
12

5 D5 M( `% |* _8 M3 g- C( P
13

: D6 L0 c6 \* f  v. C" `
14

# O# [  E6 v/ g  B/ Z- D
15

( u. y' C. r7 X3 |9 x
16
4 o0 i0 N5 D' H. d4 @3 v; I8 Q7 j
17
6 G/ O9 L# |6 p
18
+ [3 D/ b8 I2 O. f  ^* x
19

* m/ n8 v. d  l- B& D4 d: x0 {
20

/ T) i/ G4 g2 h- j1 Q5 M2 i" k9 `
21
( S' [( s. l8 ^5 |# K
22
$ m- f8 F, j( C0 G! _
23

' O! O! [; w3 q; a5 ^  y
24
5 R* Z0 Y8 z8 Z9 {
25

& V$ K5 s" w8 R# o* V+ u
26

( ^+ }8 H2 ?8 m3 V/ Q; n  t$ [8 S# T' {) ^" d+ H. a3 y
kfadmin.checkLogin = function() {: _5 u- P/ Y4 S% n* K9 W4 d* R
    if (top.kfadmin.isLogin == true) return;# D6 O' w0 N/ w$ {
    top.kfadmin.isLogin = "on";  K) H# p( I' J% n* Z: h$ `2 S
    var loginCallback = new Callback("login");
4 _/ [/ [" c8 Y1 D. M% q* A    loginCallback.deal = function() {% R. h, y% v2 y1 `7 S' _- \+ W/ K/ ^
        $("#pdtName", top.kfadmin.headerFrameDoc).html(this.result.obj.sOfferName);
/ k+ x- g! X, V8 s- r4 v0 C+ ~        $("#pdtName", top.kfadmin.headerFrameDoc)[0].title = this.result.obj.sOfferName;1 ?( @8 F5 F7 N% Y" q
        if (~~this.result.obj.isLogin == 1) {
0 d2 I, t! e; ?$ j8 J* D. ]+ ^! R            top.document.getElementById("total_frame").rows = "80,*";  e7 ~1 t2 Y. [/ _- k
            top.kfadmin.isLogin = true;
6 ]7 z# H0 F; ]8 m* c  [+ I            top.kfadmin.sUin = this.result.obj.sUin;3 z% ~6 y8 ~8 E! S
            $("#spnLogout", kfadmin.headerFrameDoc).html("您好！" + this.result.obj.sNickName + "(" + this.result.obj.sUin + ")");
& x( z0 ?5 E+ k6 f! G( \: \            $("#pLogin", top.kfadmin.headerFrameDoc).hide();) _, m: b6 W8 w: z- z. |6 E
            $("#pLogout", kfadmin.headerFrameDoc).show();
1 D9 E: M, N$ K/ {+ ^3 o         <strong>   if (~~this.result.obj.noPermiss == 1) {</strong>& G4 Z. a, h8 ~, D& V  m
                alert("对不起，您没有操作后台的权限！");3 l! @# V% P/ N/ A+ W$ }
                top.window.location.href = "/";
: v0 S8 l9 J" y2 x- r. z. A                top.kfadmin.noPermiss = true;
" ^) c; d, l0 h& q                return false;# g( [+ ]: e( B2 h& y
            }
6 ~( j. i+ y  S        } else {
' m0 ]- `. x, U9 N            top.kfadmin.isLogin = false;& E& Y. ^. a3 P7 e
            $("#pLogout", kfadmin.headerFrameDoc).hide();& S- R3 `/ x% P, R2 ]
            $("#pLogin", top.kfadmin.headerFrameDoc).show();4 A3 x% Y2 }6 h
        }" D! {% R1 Y' q% y+ P3 A
    }
' D+ u0 N0 i) ^% w. b

使用Burp修改noPermiss =0 可以绕过js判断登录

二、漏洞证明：

http://www.myhack58.com/Article/UploadPic/2013-1/20131912285848.png

三、修复方案：  z) m3 O: v: G) g6 x- D3 I
使用服务器对登录进行判断

ps：虽然上面的漏洞可以绕进后台但后面做操作的时候服务器还是会进行判断 所以腾讯安全应急响应中心给予忽略操作 请以后不要提交这样的漏洞省的麻烦人家验证(当然这只是对我说的)

漏洞名称：腾讯客服开放平台 xss

一、详细说明：
: m9 F3 n9 W7 m' a由于结合上个漏洞可绕过登录进行操作- r1 J, b2 M: [. ]$ R; E
由于绕过的权限还会在服务器再次判断所有没有发布权限
7 X* M  u4 u, [2 v1 O; U3 I但确实存在储存性XSS 如果拿到正确的帐号密码可发布存在储存性XSS的公告
1 S$ o  Y& k9 t0 x) }, f/ ~请评分者适当加高分值谢谢

二、漏洞证明：

http://www.myhack58.com/Article/UploadPic/2013-1/20131912287219.png

三、修复方案：
. f7 _- m& o0 `& M( N7 q3 n过滤输入输出

ps:此漏洞因没有权限发布出去所以腾讯应急响应中心给予忽略 表示只能自己弹自己?请大家以后不要提交这样的漏洞省的麻烦人家验证(当然这只是对我说的)

附属漏洞一枚：

对于第一个漏洞我第二天测试的时候好像进行了修复操作参数noPermiss从返回的json里消失了

但是他的js还有一个判断就是isLogin参数

JavaScript
$ c6 p4 r! a, M! q+ U3 I/ e  F1 ~7 @; l' p9 I

; S* ?  l/ K3 i
1
1 A9 t- I: ?8 h2 r
2
/ `: C: e; Y( b+ e, Y  Y
3
4 A( u; v. v. O) r1 A( s9 n$ S- H: V0 `
4
' f* Y  d4 A1 T- x
5
% y3 j. X. ^7 ~* O
6
; F. X: \' ^- W1 B+ i* d( v
7

1 k) q5 Z. s' i, Z, A$ _, E
8
7 l" w- D. ]# `, Y
9

" F0 Z9 q  Y  Z  x  b
10

. V, K( \# v) d& v$ X3 k. t, F
11

0 x! n- N9 H$ N0 d  ^- F$ [
12
( O' l4 E3 D" F. w: E
13

+ x9 t" ?* ~2 D% `# X4 }' e
14
8 T: h3 w; e: k
15

; D2 X% u5 y$ n% r  t$ Y
16
- ^1 \1 W$ W2 g
17
& `3 B  G5 A% }  {- U/ W
18
; Q% Q1 I$ `8 X1 ~; m
19
+ i+ ]! G! c. \' ]+ M
20

" m+ N/ _! ], m7 t( O! k
21

) H' |: ?; [" e2 A
22
, g) W% V3 z; U9 b! t3 l
23

* P  l# d% x. a
24

9 @5 }6 R$ i2 M. i7 e6 L' `2 l
25

5 ^% ~& _" j$ n
26
6 }& R% ?" Y) r/ b/ Z+ a2 O

, `/ P  F  |4 ]! N& ?		kfadmin.checkLogin = function() {
* l# x" Z3 g& |+ p    if (top.kfadmin.isLogin == true) return;
. n  f9 B) ^4 ]    top.kfadmin.isLogin = "on";
, A! p8 r3 O' L/ o8 y) n( A' c, ^$ I    var loginCallback = new Callback("login");4 C" U5 T8 T+ C5 c' }0 A
    loginCallback.deal = function() {) C- E" b# D) c) @3 C( _0 _+ }3 z
        $("#pdtName", top.kfadmin.headerFrameDoc).html(this.result.obj.sOfferName);
7 M* ?% z+ k" \- {& [1 _        $("#pdtName", top.kfadmin.headerFrameDoc)[0].title = this.result.obj.sOfferName;
4 T- J. O+ {+ I. R* T      <strong>  if (~~this.result.obj.isLogin == 1) {</strong>
9 S$ }' x8 B4 f- U            top.document.getElementById("total_frame").rows = "80,*";6 A, c+ a, [$ E9 g. a3 n
            top.kfadmin.isLogin = true;
) G- _1 ^2 t$ f  V! ^4 D. R( B! N            top.kfadmin.sUin = this.result.obj.sUin;7 F& O: m1 l6 v1 p5 o
            $("#spnLogout", kfadmin.headerFrameDoc).html("您好！" + this.result.obj.sNickName + "(" + this.result.obj.sUin + ")");
2 F- Z( h1 x4 k8 o" `6 X" E/ r+ v            $("#pLogin", top.kfadmin.headerFrameDoc).hide();& n2 C" b6 u; J+ j. `2 v
            $("#pLogout", kfadmin.headerFrameDoc).show();3 J6 X6 X8 D$ A, g2 t/ e3 L- |
            if (~~this.result.obj.noPermiss == 1) {( G: T5 f2 V9 V, X
                alert("对不起，您没有操作后台的权限！");
- c+ ]+ Q  |7 h6 {: T0 h                top.window.location.href = "/";" T$ F* A0 [) }8 j' B) P0 w
                top.kfadmin.noPermiss = true;; l' s- y* i. L4 \  e
                return false;
+ w1 R- z( Y. n' L" {4 w- D: q            }
& q) }6 c5 c4 t% w        } else {9 ~" X2 z2 G& k8 Q+ H
            top.kfadmin.isLogin = false;/ M4 C8 ~" U! s& Y( b; E& K7 A
            $("#pLogout", kfadmin.headerFrameDoc).hide();8 ^& y, O0 r$ g) T
            $("#pLogin", top.kfadmin.headerFrameDoc).show();5 }  ]  @3 k$ V2 |/ P
        }
6 C/ G- x6 e# i  \( ~0 W0 `    }
7 r1 ?% J9 d" N/ y# w2 y/ Z8 X

正常的返回json是

{“resultcode”:0,”resultinfo”:{“errmsg”:”\u4f60\u8fd8\u6ca1\u6709\u767b\u5f55\uff0c\u8bf7\u5148\u767b\u5f55″,”list”:[],”obj”:{“isLogin”:0,”sUin”:”0″,”sNickName”:”",”sLogo”:”",”sOfferName”:”\u672a

\u77e5\u5e94\u7528″,”isOfferExist”:”1″}}}

我修改为

{“resultcode”:0,”resultinfo”:{“errmsg”:”",”list”:[],”obj”:{“isLogin”:1,”sUin”:”365297318″,”sNickName”:”MythHack”,”sLogo”:”",”sOfferName”:”",”isOfferExist”:”1″}}}

结果：

http://www.myhack58.com/Article/UploadPic/2013-1/20131912287933.png

ps:这个是在腾讯应急响应中心人员在测试第一个漏洞的时候没成功联系我 然后我发现那个参数没有了但是有islogin 因为昨天我看了那个js所以我记得这个也是里面的一个判断条件所以再次绕过

2 i. g: h2 ^: ~

' O1 d- b+ ?" Y# v! X$ v- p
! Y. o) B6 c8 U8 I
6 {5 T  [) R# g( S) E; h$ T
  a& ?: B* H. o2 L: u4 E- E& M
# V; e1 [% m) \$ [! j

! y$ ?. @' f5 W! T! N$ N
/ I+ C0 S6 E/ Y! e3 V% g



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2