当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(12) 关注此漏洞

缺陷编号: WooYun-2014-65759

漏洞标题: cmseasy最新版存储型XSS+代码分析(可绕过xss防护机制)

相关厂商: cmseasy

漏洞作者: roker

提交时间: 2014-06-24 16:36

公开时间: 2014-09-22 16:38

漏洞类型: XSS跨站脚本攻击

危害等级: 中

自评Rank: 15

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 无

1人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-06-24: 细节已通知厂商并且等待厂商处理中
2014-06-24: 厂商已经确认,细节仅向厂商公开
2014-06-27: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2014-08-18: 细节向核心白帽子及相关领域专家公开
2014-08-28: 细节向普通白帽子公开
2014-09-07: 细节向实习白帽子公开
2014-09-22: 细节向公众公开

简要描述:

cmseasy 5.5.0.20140605

详细说明:

bbs/ajax.php

code 区域
$data = array();
$_POST['content'] = unescape($_POST['content']);
$data['aid'] = isset($_POST['aid']) ? intval($_POST['aid']) : exit(0);
$data['tid'] = isset($_POST['tid']) ? intval($_POST['tid']) : 0;
$data['content'] = isset($_POST['content']) ? $_POST['content'] : exit(0);
$data['username'] = isset($_COOKIE['username']) ? $_COOKIE['username'] : '';
//$data['userid'] = $admin->userid;
$data['addtime'] = mktime();
$data['ip'] = $_SERVER['REMOTE_ADDR'];
$reply = db_bbs_reply::getInstance();
$r = $reply->inserData($data);
if($r){
$archive = db_bbs_archive::getInstance();
$archive->updateClickReply($data['aid'],'replynum');
......



看到unescape 函数。

code 区域
function unescape($str) {
$str = rawurldecode($str);
preg_match_all("/%u.{4}|&#x.{4};|&#d+;|.+/U",$str,$r);
$ar = $r[0];
foreach($ar as $k=>$v){
if(substr($v,0,2) == "%u"){
$ar[$k] = iconv("UCS-2","UTF-8",pack("H4",substr($v,-4)));
}elseif(substr($v,0,3) == "&#x"){
$ar[$k] = iconv("UCS-2","UTF-8",pack("H4",substr($v,3,-1)));
}elseif(substr($v,0,2) == "&#"){
$ar[$k] = iconv("UCS-2","UTF-8",pack("n",substr($v,2,-1)));
}
}
return join("",$ar);
}



有了 rawurldecode

所以提交 url格式编码数据。绕过remove_xss检测。再rawurldecode还原。即可xss

列如 %3Cscript%3Ealert(1)%3C%2Fscript%3E

c11.jpg



c5.jpg



漏洞证明:

如上所诉

修复方案:

修复

版权声明:转载请注明来源 roker@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-06-24 18:26

厂商回复:

马上修正

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-06-24 16:43 | mramydnei ( 普通白帽子 | Rank:400 漏洞数:87 )
    1

    说句话你不要打我 这不是重复了么? http://wooyun.org/bugs/wooyun-2010-063803

  2. 2014-06-24 16:50 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞,心中自然无码。)
    0

    @mramydnei 这俩不是同一个漏洞,当前漏洞利用更加自由随意些

  3. 2014-06-24 16:51 | eval ( 普通白帽子 | Rank:137 漏洞数:25 | 专注小厂商五十年。)
    0

    @疯狗 管理员帮审下 我那几个。。。私信你了

  4. 2014-06-24 17:03 | mramydnei ( 普通白帽子 | Rank:400 漏洞数:87 )
    0

    @疯狗 嗯,知道了

  5. 2014-06-24 18:22 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    0

    @mramydnei M老湿。。。。

  6. 2014-06-24 18:25 | mramydnei ( 普通白帽子 | Rank:400 漏洞数:87 )
    0

    @roker 我不哭,我站着撸

  7. 2014-06-24 22:11 | zj1244 ( 普通白帽子 | Rank:279 漏洞数:35 | 小葵)
    0

    还是bbs?

登录后才能发表评论,请先 登录