漏洞发生在插附件的地方。说到插附件各位看官也应该都想到了肯定是文件名。因为文件名是按照本地上传的文件名来显示的。
% E; G4 }1 F/ `4 i1 @如果你的操作系统是linux你可以直接修改一个图片文件的文件名，像这样：
/ Z4 d5 @* k# C$ } d4 _' l ; b2 b7 u; W0 S4 \
13 h3 X! S0 ?& {/ C
<img src=javascript/alert(1);>.png
7 p6 { s$ a9 x- c" ?(这里的/在linux下会被转换成: 这个payload只有在IE6下才能弹起来，我知道你们都是高手 可以根据需要 插点高级的payload)
9 w% r7 C5 w g/ {如果你的操作系统是windows,你可以上你喜欢的抓包工具(我个人喜欢用Tamper data)。第一次上传应该是抓不到文件名的，至少我没有抓到。9 v2 C; H5 |9 Q6 q0 x6 ~
所以你需要在上传，插入，发帖完成之后重新编辑你的帖子来更新你的图片，这个时候抓包是可以抓到这个可爱的filename的。
- a/ l# L4 I/ H( ]! M: x8 \修改xxx.png为+ P: t0 T/ h& C* @% L$ }" j! P
9 z# ^2 A# |5 E L, q7 K
1+ V% D! @& I% x5 M( g
<img src=javascript:alert(1);>.png
/ Y7 Q, U1 B6 t提交。
6 g7 K. j7 }/ W1 k4 S) g4 |+ |7 \xss会被触发在第二个页面，也就是点击图片放大之后触发。
2 f2 Z, n" G( ^9 M& J2 bpwned!
9 F5 y# y+ z- }9 Z
$ \: X3 e$ u6 H" b字符长度限制在80左右，过滤了” ’ / etc..（斜杠的问题我会在后面继续叙述）
8 g9 {, e' J0 T w% A因为不懂XSS，就拿给自己玩的好的几位基友去构造payload都说斜杠过滤了，字符限制云云 基本上都失败了。! m0 | Y% I" q: b/ v2 \
虽然现在XSS很火，但我个人真的不是很喜欢这个东西。3 v+ {( p# [* v3 y( F/ a
但基友居然都说不行就只好自己硬着头皮再试试了。( z+ B, O, ^+ e9 ]! o2 o+ A
在尝试中发现反斜杠也被过滤时，我才发现这不是一个xss filter的问题。; q4 Y) m. C+ V1 a. U3 j/ i
而是上传过程中，我们可爱的/和反斜杠在这里应该起到分割filename和filepath的作用 所以被杀也是应该的。 Orz..
$ s% U6 y7 y$ T; l t, y这貌似就是传说中的mission impossible了。
% A) J8 ~# g3 ~8 _) N4 G, d# ^) j- z我们需要解决这个斜杠的问题。经过各种尝试最后迂回到了附件描述的地方。很没有把握地插了一个XSS payload.像这样：1 I' P- D" P! \; K6 }2 K4 V
1
3 D0 c/ C- e3 t8 c; }/ t" ~6 I<img src=x onerror=alert(document.cookie)>.png
4 [& S6 z8 i. P原来的文件名被这个描述给覆盖掉了。
; c( @7 Z. h! D, T" Opwned!: T7 j8 ~" U9 O: W/ k6 Y- f
- J3 \( F E% \. }6 U而且已经可以带上我们的斜杠了（因为它已经不再是前面的那种情况了）. e- K8 _$ i8 w
到这儿，我觉得应该已经没有任何的阻碍了。
2 S' Y' o, h! S可能经过测试，会有人说payload会在主页面测漏，有HTTPonly cookie,属于被动触发云云。
' C6 E$ @3 ?8 m& O$ k; f9 i$ ?whatever!
! j* Y; @6 U( b/ n我觉得这些已经不应该是该去研究的问题了。* Z: w) [. `' O$ {
因为没有哪个网站和你有这么大的恨。/ L8 T2 X" M' m1 w- N
解决方案：
7 U( q8 Q3 q; [全局-上传设置-论坛附件-帖子中显示图片附件-否5 A" Y. O* w2 E4 `9 L" H$ P0 j$ {
这样，就搞定了。
" e3 l( O8 a, ^% Q$ A8 F |
发表于 2013-2-16 21:37:48
收藏
支持
反对
发表于 2013-2-17 19:17:13