Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2020-00859
- 發信 Vendor: 國立中央大學
- Title: ncu eeclass stored-xss on any discussion via another xss + clickjacking + logic flaws + idor
- Introduction: 4 combos
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2020/10/02 18:31:54 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
- 2020/10/02 18:36:37 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
- 2020/10/02 23:27:40 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
- 2020/10/04 23:22:08 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2020/10/05 17:47:06 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2020/10/05 17:47:06 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2020/10/05 17:47:06 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2020/12/02 03:00:04 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2020-00859
- 通報者：lebr0n_li (wqwfeoipwqjfpwiejfdpioqweoifjqwf)
- 風險：中
- 類型：不安全的直接存取物件 (Insecure Direct Object References, IDOR)
參考資料
OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References
Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md
OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
相關網址
敘述
在個人介紹的地方，可使用iframe來嵌入一些指定的網站
例如嘗試使用範例的youtube連結，即可成功嵌入
嘗試一些簡單的xss payloads未果
後來嘗試讓src等於正常的連結時，發現竟然仍然無法成功！？
推得背後應該有個網站的白名單，檢查嵌入的網站
所以讓src="//[email protected]"來達到繞過
在這裡是第一個漏洞：Logic Flaw
但如何繼續提升該漏洞的危險性？
想到iframe當然就是想到ClickJacking啦！
由於eeclass的X-Frame-Options未設置
所以可以用src="//[email protected]/"直接引入
在這裡是第二個漏洞：ClickJacking
因為我的上一個通報發現的個人網站連結可xss，所以直接引入我的個人頁面
boom! xss fired *2!!!
在這裡是第三個漏洞：舊的xss
最後雖然留言功能沒有嵌入iframe的功能，但何不複製再貼上剛剛個人頁面所產生的個人介紹內容，應該不會擋掉？
burp 截包，把留言的內容更改為以下內容並傳送：
%3Cdiv%3E%0A%3Cdiv%2Bstyle%3D%22width%3A560px%3Bmax-width%3A100%25%3B%22%3Exss%2Bvia%2Bclickjacking%2Band%2Bidor%3C%2Fdiv%3E%0A%0A%3Cdiv%2Bclass%3D%22embed-responsive%2Bembed-responsive-16by9%22%2Bstyle%3D%22width%3A560px%3Bmax-width%3A100%25%3B%22%3E%26nbsp%3B%26nbsp%3B%26nbsp%3B%26nbsp%3B%3Ciframe%2Bclass%3D%22embed-responsive-item%22%2Bframeborder%3D%220%22%2Bheight%3D%22315%22%2Bsrc%3D%22%2F%2Fncueeclass.ncu.edu.tw%2Fuser%2F109502xxx%2Finfo%22%2Bstyle%3D%22max-width%3A100%25%3B%22%2Bwidth%3D%22560%22%3E%3C%2Fiframe%3E%3C%2Fdiv%3E%0A%0A%3Cdiv%2Bstyle%3D%22width%3A560px%3Bmax-width%3A100%25%3B%22%3E%26nbsp%3B%3C%2Fdiv%3E%0A%0A%3Cdiv%2Bstyle%3D%22width%3A560px%3Bmax-width%3A100%25%3B%22%3E%26nbsp%3B%3C%2Fdiv%3E%0A%0A%3Cdiv%2Bstyle%3D%22width%3A560px%3Bmax-width%3A100%25%3B%22%3Exss%2Bvia%2Bclickjacking%2Band%2Bidor%2Band%2Blogic%2Bflaw%3C%2Fdiv%3E%0A%3C%2Fdiv%3E%0A
(裡面的連結我已經改成109502xxx了，我不想讓你知道我是誰XD)
在這裡是第四個漏洞：idor!!!
全部串連起來=boom! xss in any discussion!!!
修補建議
1. set x-frame-option to deny
2. better white lists regex for iframe's src
3. no iframe in discussion
4. pls no xss anymore :)