zuvio網站存在全站XSS - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2018-00292
  •  發信 Vendor: 學悅科技有限公司
  • Title: zuvio網站存在全站XSS
  • Introduction: XSS注入

處理狀態

目前狀態

公開
Last Update : 2018/05/19
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2018/03/19 22:48:38 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/03/20 22:31:35 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/03/21 15:21:21 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/03/21 15:21:43 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/03/21 15:21:44 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/03/22 13:37:36 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/05/19 03:00:11 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID:ZD-2018-00292
  • 通報者:twfinderaz (FB搜尋"波波的寂寞世界")
  • 風險:高
  • 類型:預存式跨站腳本攻擊 (Stored Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份,或進行掛碼、轉址等攻擊行為。

漏洞說明: OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則:
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

XSS 防禦繞過方式:
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)

相關網址

https://irs.zuvio.com.tw/chicken/articles

敘述

該網站https://irs.zuvio.com.tw/chicken/articles,隨便註冊一個帳號登入後,到任意版上 發佈文章,如要進行全站Stored XSS,即可直接在標題欄位進行XSS payload,如果針對文章內XSS,則在文章內容插入XSS payload。

該站過濾不嚴謹,導致可繞過進行全站XSS

修補建議

建議過濾特殊字元 如>、<、'、"、(、)、等
Go語言提供了HTML的過濾函數:
text/template包下面的HTMLEscapeString、JSEscapeString等函數
使用XSS Filter
檢查頁面輸入數值
輸出頁面做Encoding檢查
使用白名單機制過濾,而不單只是黑名單
PHP使用htmlentities過濾字串
.NET使用Microsoft Anti-XSS Library

以上方法供參考,得依實際狀況作調整,

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。
;