台塑石化股份有限公司網站存在 XSS 與 LFI

Vulnerability Overview

ZDID: ZD-2022-00529
發信 Vendor: 台塑石化股份有限公司
Title: 台塑石化股份有限公司網站存在 XSS 與 LFI
Introduction: 網站存在 XSS 與 LFI

處理狀態

目前狀態

公開

Last Update : 2022/09/24

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2022/07/25 06:51:28 : 新提交 (由 BTtea 更新此狀態)
2022/07/25 06:51:58 : 新提交 (由 BTtea 更新此狀態)
2022/07/25 07:15:36 : 新提交 (由 BTtea 更新此狀態)
2022/07/26 01:32:21 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2022/08/01 16:53:15 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2022/08/01 16:53:15 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2022/08/01 16:53:15 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2022/09/24 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2022-00529
通報者：blacktea_player (BTtea)
風險：低
類型：反射型跨站腳本攻擊 (Reflected Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份，或進行掛碼、轉址等攻擊行為。

漏洞說明： OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則： OWASP - XSS (Cross Site Scripting) Prevention Cheat Sheet
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

防禦繞過方式： OWASP - XSS Filter Evasion Cheat Sheet
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

http://www.fpcc.com.tw/tw/ir/material-information/28
URI 網址後加上 xss payload 即可觸發，並且只加上頓號會噴出 SQL 語法錯誤

xss payload : `<center onmouseover%3Dalert%28%64%6F%63%75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%29>

www.fpcc.com.tw/common/frontend/download?path=/uploads/images/company/11_104_0806.pdf&name=
GET 參數 path 存在 LFI

首先把最前面的 /uploads 多加一個點變成 ./uploads (代表當前目錄)，發現可以正常下載
再來經由 http://www.fpcc.com.tw/0 路徑的錯誤訊息洩漏出的實體路徑，配合偽協議(又稱裝飾器)「file:// 」構造出 payload 存取後，發現依然可以正常下載
經過 fuzzing 後判斷可能是後端檢查送入的字元末4碼如果不是「.pdf 」，則只下載0字元的檔案「Error」，功力不足尚未繞過，不過由於可以使用偽協議，依此判斷此參數存在 LFI
LFI payload : file:///home/httpd/vhosts/fpcc.com.tw/httpdocs/uploads/images/company/11_104_0806.pdf

無意義但不應該被存取的站點目錄可能導致資訊洩漏
http://www.fpcc.com.tw/0 (噴出站點實體路徑)
http://www.fpcc.com.tw/admin (後台可存取)
http://www.fpcc.com.tw/vendor/composer/installed.json (洩漏後端架構程序布局)

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

台塑石化股份有限公司網站存在 XSS 與 LFI - HITCON ZeroDay

Vulnerability Detail Report