zuvio網站存在全站XSS

Vulnerability Overview

ZDID: ZD-2018-00292
發信 Vendor: 學悅科技有限公司
Title: zuvio網站存在全站XSS
Introduction: XSS注入

處理狀態

目前狀態

公開

Last Update : 2018/05/19

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2018/03/19 22:48:38 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
2018/03/20 22:31:35 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/03/21 15:21:21 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/03/21 15:21:43 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/03/21 15:21:44 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/03/22 13:37:36 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/05/19 03:00:11 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2018-00292
通報者：twfinderaz (FB搜尋"波波的寂寞世界")
風險：高
類型：預存式跨站腳本攻擊 (Stored Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份，或進行掛碼、轉址等攻擊行為。

漏洞說明： OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則：
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

XSS 防禦繞過方式：
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

該網站https://irs.zuvio.com.tw/chicken/articles，隨便註冊一個帳號登入後，到任意版上發佈文章，如要進行全站Stored XSS，即可直接在標題欄位進行XSS payload，如果針對文章內XSS，則在文章內容插入XSS payload。

該站過濾不嚴謹，導致可繞過進行全站XSS

修補建議

建議過濾特殊字元如>、<、'、"、(、)、等
Go語言提供了HTML的過濾函數：
text/template包下面的HTMLEscapeString、JSEscapeString等函數
使用XSS Filter
檢查頁面輸入數值
輸出頁面做Encoding檢查
使用白名單機制過濾，而不單只是黑名單
PHP使用htmlentities過濾字串
.NET使用Microsoft Anti-XSS Library

以上方法供參考，得依實際狀況作調整，

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

zuvio網站存在全站XSS - HITCON ZeroDay

Vulnerability Detail Report