中国网络渗透测试联盟
标题:
dzX 2.0/2.5通杀0day 存储型XSS一枚
[打印本页]
作者:
admin
时间:
2013-2-16 21:37
标题:
dzX 2.0/2.5通杀0day 存储型XSS一枚
漏洞发生在插附件的地方。说到插附件各位看官也应该都想到了肯定是文件名。因为文件名是按照本地上传的文件名来显示的。
& `7 n' l" o, M$ F2 f
如果你的操作系统是linux你可以直接修改一个图片文件的文件名，像这样：
; b0 {4 m6 A0 N' n0 h
, Z: C2 i. ]5 V6 n9 P
1
j7 h, b" \9 {# A# y
<img src=javascript/alert(1);>.png
6 S$ F/ o! ~" f- g+ l" \# }( B
(这里的/在linux下会被转换成: 这个payload只有在IE6下才能弹起来，我知道你们都是高手 可以根据需要 插点高级的payload)
2 K2 y. `5 W" h
如果你的操作系统是windows,你可以上你喜欢的抓包工具(我个人喜欢用Tamper data)。第一次上传应该是抓不到文件名的，至少我没有抓到。
# U/ N/ D7 b. M2 ^
所以你需要在上传，插入，发帖完成之后重新编辑你的帖子来更新你的图片，这个时候抓包是可以抓到这个可爱的filename的。
: {( P# Y" f9 ~1 c, @
修改xxx.png为
" P6 D6 m4 g) h* R2 f
5 U5 b. W, r) D1 b g
1
0 ~0 J0 { w$ D: y
<img src=javascript:alert(1);>.png
/ _7 F* E, N# | f9 U* Z
提交。
9 ^6 @+ r9 R: u' X( @+ M/ W! p
xss会被触发在第二个页面，也就是点击图片放大之后触发。
h% v, X( c5 D* G7 V d
pwned!
7 o1 Q8 d O1 A% y( W+ s& D" U
$ j7 p& d# H) y0 Y& G. d- g
字符长度限制在80左右，过滤了” ’ / etc..（斜杠的问题我会在后面继续叙述）
# w7 |% Z. B* S
因为不懂XSS，就拿给自己玩的好的几位基友去构造payload都说斜杠过滤了，字符限制云云 基本上都失败了。
. R, _) N: B3 }& _( L
虽然现在XSS很火，但我个人真的不是很喜欢这个东西。
: |% R; W& e6 b' f: B7 c! t( D/ a
但基友居然都说不行就只好自己硬着头皮再试试了。
! N( X0 n! L' @
在尝试中发现反斜杠也被过滤时，我才发现这不是一个xss filter的问题。
+ u9 f3 f! Y7 r2 x4 [8 y; |7 w7 R. r. f
而是上传过程中，我们可爱的/和反斜杠在这里应该起到分割filename和filepath的作用 所以被杀也是应该的。 Orz..
p8 a* s( ?/ T1 {" b$ I1 m
这貌似就是传说中的mission impossible了。
+ Y+ [/ W: j8 f- N& y" S+ J
我们需要解决这个斜杠的问题。经过各种尝试最后迂回到了附件描述的地方。很没有把握地插了一个XSS payload.像这样：
% r7 W2 O* s9 D" o4 x
1
( E, U. O6 Y1 b. Z5 |8 P/ P" ~
<img src=x onerror=alert(document.cookie)>.png
! A' t' a# v+ j, B5 O& l- L+ J# c
原来的文件名被这个描述给覆盖掉了。
I6 m2 J ~. u, {
pwned!
6 r( f4 K2 |+ ^6 N& R! k, x) G+ v. |
9 A0 l, P- C8 _" [) G: j* K
而且已经可以带上我们的斜杠了（因为它已经不再是前面的那种情况了）
+ B# E7 v2 ]6 y+ v: ?
到这儿，我觉得应该已经没有任何的阻碍了。
& t" h9 }( e# v& {
可能经过测试，会有人说payload会在主页面测漏，有HTTPonly cookie,属于被动触发云云。
/ r/ _ S0 Y3 c4 n5 n* H5 \* V
whatever!
- m0 d1 J5 q: ]: `+ H' Y
我觉得这些已经不应该是该去研究的问题了。
2 ^7 S- l0 c# i; @+ V4 q: `
因为没有哪个网站和你有这么大的恨。
4 f1 z' m8 [0 S0 `
解决方案：
& i/ `0 Z1 |8 P8 D1 B& O4 H f% D3 e7 N) U
全局-上传设置-论坛附件-帖子中显示图片附件-否
( _# E! l, P% R. q7 h3 n
这样，就搞定了。
: w- S6 \1 X7 y/ [; s" Q( T
作者:
coolboy
时间:
2013-2-17 19:17
我在法客见过
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2