Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2018-00476
- 發信 Vendor: [此單位建立假漏洞行銷已停權] Black Space 黑杜科技
- Title: [此單位建立假漏洞行銷已停權] BlackSpace 黑杜科技 存儲型XSS漏洞
- Introduction: 存儲型XSS注入
- 獎勵金
- 風雲榜
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
已修補
-
未複測
-
公開
處理歷程
- 2018/04/14 19:07:34 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 19:19:35 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 19:27:38 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 19:44:46 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 20:38:05 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 20:39:07 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 20:41:12 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 20:45:14 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
- 2018/04/14 21:03:59 : 審核中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/15 20:36:28 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/15 20:37:15 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/15 20:37:16 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/15 20:37:17 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/16 02:11:05 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/21 01:31:57 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/04/21 01:32:15 : 公開 (由 HITCON ZeroDay 服務團隊 更新此狀態)
詳細資料
- ZDID：ZD-2018-00476
- 通報者：twfinderaz (FB搜尋"波波的寂寞世界")
- 風險：中
- 類型：預存式跨站腳本攻擊 (Stored Cross-Site Scripting)
參考資料
漏洞說明： OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
防護原則：
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
XSS 防禦繞過方式：
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
相關網址
例如：
http://35.194.171.158/chrome-v8-translatedstatematerializecapturedobjectat-type-confusion
或是其他文章都可以。
敘述
該網站http://35.194.171.158/文章 留言處 可進行XSS
例如：
http://35.194.171.158/chrome-v8-translatedstatematerializecapturedobjectat-type-confusion/
然後發表評論。
評論內容欄位 構造一個XSS語法：
<iframe/%00/ src=javaSCRIPT:alert(1)
<iframe style="xg-p:absolute;top:0;left:0;width:100%;height:100%" onmouseover="prompt(1)">
<a href=javascript:alert(document.cookie)>Click Here</a>
<IFRAME SRC=\"javascript:alert('XSS');\"></IFRAME>
進行 XSS cookie後，
當用戶點擊 即可取得Cookie
成功取得 該用戶cookie 姓名 Email website 等資訊。
修補建議
XSS跨站腳本攻擊(Cross-Site Scripting)
允許攻擊者將惡意代碼植入到提供給其它用戶使用的頁面中。不同於大多數攻擊(一般只涉及攻擊者和受害者)，XSS涉及到三方，即攻擊者、客戶端與Web應用。 XSS的攻擊目標是為了盜取存儲在客戶端的cookie或者其他網站用於識別客戶端身份的敏感資訊。一旦獲取到合法用戶的資訊後，攻擊者甚至可以假冒合法用戶與網站進行交互。
Web應用未對使用者提交請求的資料做充分的檢查過濾，允許使用者在提交的資料中摻入HTML代碼(最主要的是“>”、“<”)，並將未經轉義的惡意程式碼輸出到協力廠商用戶的流覽器解釋執行，是導致XSS漏洞的產生原因。
防範方法：
1.過濾特殊字元，例如 大於>、小於<、單引號'、雙引號"、左括號(、右括號) ，等等
2.使用XSS Filter
3.檢查頁面輸入數值
4.輸出頁面做Encoding檢查
5.使用白名單機制過濾，而不單只是黑名單
6.PHP使用htmlentities過濾字串
7..NET使用Microsoft Anti-XSS Library
8.OWASP Cross Site Scripting Prevention Cheat Sheet
以上方法僅提供參考，建議網管Google搜尋 XSS相關攻擊手法及防範。
建議網站全部只要是使用者(用戶)、管理員可輸入的欄位、搜尋欄位、網址等 都進行檢查 並防範XSS攻擊