中国网络渗透测试联盟
标题:
dzX 2.0/2.5通杀0day 存储型XSS一枚
[打印本页]
作者:
admin
时间:
2013-2-16 21:37
标题:
dzX 2.0/2.5通杀0day 存储型XSS一枚
漏洞发生在插附件的地方。说到插附件各位看官也应该都想到了肯定是文件名。因为文件名是按照本地上传的文件名来显示的。
9 }, F0 `" k* t3 q
如果你的操作系统是linux你可以直接修改一个图片文件的文件名，像这样：
7 R2 x" L& w( v
) w! J, ^$ Q5 A# K- a" m: n( a
1
. d6 F: b: A4 J. S: R& ]0 c
<img src=javascript/alert(1);>.png
& [4 E% o+ o. G6 n6 j- [
(这里的/在linux下会被转换成: 这个payload只有在IE6下才能弹起来，我知道你们都是高手 可以根据需要 插点高级的payload)
6 O+ I0 h4 i: b3 G" S, U" B
如果你的操作系统是windows,你可以上你喜欢的抓包工具(我个人喜欢用Tamper data)。第一次上传应该是抓不到文件名的，至少我没有抓到。
% C1 F: v, a4 L/ K" V0 p$ x% t6 l) [
所以你需要在上传，插入，发帖完成之后重新编辑你的帖子来更新你的图片，这个时候抓包是可以抓到这个可爱的filename的。
8 S* |1 T2 O& W8 {* u6 {2 u
修改xxx.png为
8 c# c2 y9 z' F2 q8 ]
/ K) @1 p" O4 z
1
* L) P4 \6 h8 v: ^: a
<img src=javascript:alert(1);>.png
8 Y2 q* k# v& ^3 ]+ e) \
提交。
' d0 g2 M, I$ X) B3 I% o
xss会被触发在第二个页面，也就是点击图片放大之后触发。
- E" k% Z4 \$ ^) O3 F
pwned!
# v$ Q) ]' j) n# ?) h: i
. V- Q; l& Y; u
字符长度限制在80左右，过滤了” ’ / etc..（斜杠的问题我会在后面继续叙述）
: C# N3 G8 F/ ]& H' T/ v
因为不懂XSS，就拿给自己玩的好的几位基友去构造payload都说斜杠过滤了，字符限制云云 基本上都失败了。
* X" A" s) l$ J
虽然现在XSS很火，但我个人真的不是很喜欢这个东西。
* t; Y$ k: c. z' E' ]( H
但基友居然都说不行就只好自己硬着头皮再试试了。
0 \5 ? \- O. d% n
在尝试中发现反斜杠也被过滤时，我才发现这不是一个xss filter的问题。
% v C8 q) j" E$ M L
而是上传过程中，我们可爱的/和反斜杠在这里应该起到分割filename和filepath的作用 所以被杀也是应该的。 Orz..
, A9 W( G3 \" m1 ~0 N' E, N
这貌似就是传说中的mission impossible了。
) L( H% { F% j# _
我们需要解决这个斜杠的问题。经过各种尝试最后迂回到了附件描述的地方。很没有把握地插了一个XSS payload.像这样：
) [0 W3 U4 @& ~, c9 a% _2 a E
1
: E4 ]* a S3 t8 v
<img src=x onerror=alert(document.cookie)>.png
# u+ r6 C1 @0 Y; d6 S: Z. L4 j4 \
原来的文件名被这个描述给覆盖掉了。
( [; T" d$ r; {9 n/ x
pwned!
4 h+ g- H- }& `
& ?8 F6 z6 V" {& a. x N
而且已经可以带上我们的斜杠了（因为它已经不再是前面的那种情况了）
) k/ R! _: K( \5 ^" E: O# R: z1 x
到这儿，我觉得应该已经没有任何的阻碍了。
/ [& E% a/ R# B7 J: O9 `
可能经过测试，会有人说payload会在主页面测漏，有HTTPonly cookie,属于被动触发云云。
0 B4 h8 h% J) c9 G, a3 M
whatever!
7 r0 k% L! H+ R4 j
我觉得这些已经不应该是该去研究的问题了。
4 `; J+ _, ~; u! s9 v8 r& _3 V
因为没有哪个网站和你有这么大的恨。
6 v" M ?3 D3 m) C S1 i. {
解决方案：
; \: C. {5 d( s) W0 ?
全局-上传设置-论坛附件-帖子中显示图片附件-否
, h, y& a0 Y5 m: {
这样，就搞定了。
* {2 m, u# l3 ], H* H
作者:
coolboy
时间:
2013-2-17 19:17
我在法客见过
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2