Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2016-00268
- Vendor: 國軍人才招募中心
- Title: 國軍人才招募中心 某政府單位 - Cross-frame Scripting
- Introduction: 跨框架腳本攻擊(儲存型)
處理狀態
目前狀態
公開
Last Update : 2016/12/13
-
新提交
-
已審核
-
已通報
-
已修補
-
已複測
-
公開
處理歷程
- 2016/10/11 00:36:35 : 新提交 (由 jacky5112 更新此狀態)
- 2016/10/11 00:37:11 : 新提交 (由 HITCON ZeroDay 平台自動更新)
- 2016/10/11 23:39:00 : 審核完成 (由 HITCON ZeroDay 平台自動更新)
- 2016/10/13 01:56:41 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2016/10/13 01:56:44 : 修補中 (由 HITCON ZeroDay 平台自動更新)
- 2016/12/13 01:00:05 : 確認已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2016/12/13 01:00:05 : 公開 (由 HITCON ZeroDay 服務團隊 更新此狀態)
詳細資料
- ZDID:ZD-2016-00268
- 通報者:qoo24571864 (jacky5112)
- 風險:高
- 類型:預存式跨站腳本攻擊 (Stored Cross-Site Scripting)
參考資料
攻擊者可經由該漏洞竊取使用者身份,或進行掛碼、轉址等攻擊行為。
漏洞說明: OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
防護原則:
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
XSS 防禦繞過方式:
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
漏洞說明: OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
防護原則:
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
XSS 防禦繞過方式:
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)
相關網址
https://rdrc.mnd.gov.tw/rdrcnew/tpry/healthreservededit.asp
敘述
- 利用 google hacking 發現網頁
- 瀏覽網頁,利用身分證註冊機註冊,其中發現該驗證碼在網頁以「文字」顯示,可藉由分析html標籤進行機器人註冊
https://rdrc.mnd.gov.tw/rdrcnew/tpry/healthreserve.asp?item=92 - 進入住測頁面進行「編輯資料」,針對「姓名」欄位進行測試,對其中 value 值輸入「<iframe src= />」。其中發現該網站上傳照片功能並未檢查副檔名。
https://rdrc.mnd.gov.tw/rdrcnew/tpry/healthreservededit.asp?item=92&menu=9 - 資料修改後,可插入 iframe 元素,可進行跨框架腳本攻擊
擷圖
留言討論
登入後留言