[此單位建立假漏洞行銷已停權] BlackSpace 黑杜科技 存儲型XSS漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2018-00476
  •  發信 Vendor: [此單位建立假漏洞行銷已停權] Black Space 黑杜科技
  • Title: [此單位建立假漏洞行銷已停權] BlackSpace 黑杜科技 存儲型XSS漏洞
  • Introduction: 存儲型XSS注入

處理狀態

目前狀態

公開
Last Update : 2018/04/21
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 未複測
  • 公開

處理歷程

  • 2018/04/14 19:07:34 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 19:19:35 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 19:27:38 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 19:44:46 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 20:38:05 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 20:39:07 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 20:41:12 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 20:45:14 : 新提交 (由 FB搜尋"波波的寂寞世界" 更新此狀態)
  • 2018/04/14 21:03:59 : 審核中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/15 20:36:28 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/15 20:37:15 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/15 20:37:16 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/15 20:37:17 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/16 02:11:05 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/21 01:31:57 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/04/21 01:32:15 : 公開 (由 HITCON ZeroDay 服務團隊 更新此狀態)

詳細資料

  • ZDID:ZD-2018-00476
  • 通報者:twfinderaz (FB搜尋"波波的寂寞世界")
  • 風險:中
  • 類型:預存式跨站腳本攻擊 (Stored Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份,或進行掛碼、轉址等攻擊行為。

漏洞說明: OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則:
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

XSS 防禦繞過方式:
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)

相關網址

該網站http://35.194.171.158/ 文章留言處 可進行XSS
例如:
http://35.194.171.158/chrome-v8-translatedstatematerializecapturedobjectat-type-confusion
或是其他文章都可以。

敘述

該網站http://35.194.171.158/文章 留言處 可進行XSS
例如:
http://35.194.171.158/chrome-v8-translatedstatematerializecapturedobjectat-type-confusion/
然後發表評論。
評論內容欄位 構造一個XSS語法:
<iframe/%00/ src=javaSCRIPT&colon;alert(1)
<iframe style="xg-p:absolute;top:0;left:0;width:100%;height:100%" onmouseover="prompt(1)">
<a href=javascript&colon;alert&lpar;document&period;cookie&rpar;>Click Here</a>
<IFRAME SRC=\"javascript:alert('XSS');\"></IFRAME>
圖片
進行 XSS cookie後,
當用戶點擊 即可取得Cookie
圖片
成功取得 該用戶cookie 姓名 Email website 等資訊。

修補建議

XSS跨站腳本攻擊(Cross-Site Scripting)
允許攻擊者將惡意代碼植入到提供給其它用戶使用的頁面中。不同於大多數攻擊(一般只涉及攻擊者和受害者),XSS涉及到三方,即攻擊者、客戶端與Web應用。 XSS的攻擊目標是為了盜取存儲在客戶端的cookie或者其他網站用於識別客戶端身份的敏感資訊。一旦獲取到合法用戶的資訊後,攻擊者甚至可以假冒合法用戶與網站進行交互。
Web應用未對使用者提交請求的資料做充分的檢查過濾,允許使用者在提交的資料中摻入HTML代碼(最主要的是“>”、“<”),並將未經轉義的惡意程式碼輸出到協力廠商用戶的流覽器解釋執行,是導致XSS漏洞的產生原因。
防範方法:
1.過濾特殊字元,例如 大於>、小於<、單引號'、雙引號"、左括號(、右括號) ,等等
2.使用XSS Filter
3.檢查頁面輸入數值
4.輸出頁面做Encoding檢查
5.使用白名單機制過濾,而不單只是黑名單
6.PHP使用htmlentities過濾字串
7..NET使用Microsoft Anti-XSS Library
8.OWASP Cross Site Scripting Prevention Cheat Sheet
以上方法僅提供參考,建議網管Google搜尋 XSS相關攻擊手法及防範。
建議網站全部只要是使用者(用戶)、管理員可輸入的欄位、搜尋欄位、網址等 都進行檢查 並防範XSS攻擊

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。
;