Discuz 前台回帖 存储型 DOM XSS

基本字段

漏洞编号：
SSV-89248
披露/发现时间：
2015-03-07
提交时间：
2015-08-07
漏洞等级：
漏洞类别：
跨站脚本
影响组件：
Discuz!
漏洞作者：
ModNar
提交者：
@mb1Dex
CVE-ID：
补充
CNNVD-ID：
补充
CNVD-ID：
补充
ZoomEye Dork：
补充

来源

漏洞详情

贡献者 尧之 共获得  4.55KB

产生原因：

JS原生取ELEMENT中HTML内容的方法，会将服务端转义过的单双引号实体编码进行反转。

代码分析：

这里有payload: [align="onmouseover="alert(1)], 那么就从payload开始往回看漏洞是怎么产生的

<textarea name='message' id='e_textarea' class='pt' rows='15' tabindex='2'>[align=&quot;onmouseover=&quot;alert(1)]</textarea>

回帖之后payload显示如上述所示, 跟进 管理员/版主 编辑帖子时的操作

var editorid = 'e';
var textobj = $(editorid + '_textarea');

这里得到textobj = 'e_textarea'

/static/js/common.js Line8:

function $(id){ return !id? null : document.getElementById(id); }

跟进textobj可以发现 $(textobj) 提出的payload 

[align="onmouseover="alert(1)]

进入bbcode2html()

/static/js/bbcode.js Line 95:

str = str.replace(/\[align=([^\[\<]+?)\]/ig, '<div align="$1">');

这里将payload 

[align="onmouseover="alert(1)]

转换成

<div align=""onmouseover="alert(1)"></div>

/static/js/editor.js Line 39:

writeEditorContents(isUndefined(initialtext) ? textobj.value : initiatext );

跟进writeEditorContents参数看下

/static/js/editor.js Line 558:

function writeEditorContents(text){
...
# 写操作函数, text被直接写入html文件中
...
}

到此为止外部代码已经被成功插入并保存到新生成的html中

以上就是整个xss形成的原因, 最重要的原因是将textobj.value直接提出来当做插入的内容了

这里就有一个问题 比方说有如下代码

<textarea id=test>&lt;img src=x&gt;</textarea>

<script>
str = document.getElementById('test').value;
document.write(str);
</script>

这里可以发现写入了一个img标签 尖括号&lt; 和 &gt; 被反转义回<和>了 dz的这个xss就是没有处理反转义回来的尖括号造成了这个位置的xss

乌云案例: 参考链接

yql丶 Mr.Robot Medici.Yan 名匿 0x153 annabelle jax777 等 24  兑换了

PoC (pocsuite 插件) (pocsuite 插件)

贡献者 尧之 共获得   12KB
登陆后兑换查看

共 4 兑换

参考链接

解决方案

临时解决方案

无

官方解决方案

升级discuz版本

防护方案

无

生命线

  • 2015-03-07 发现/披露了漏洞
  • 2015-08-07 提交了漏洞
  • 2015-08-07 提交补充了漏洞详情
  • 2015-10-14 提交更新了 PoC
  • @mb1Dex
    2016-04-06 补充了漏洞详情

相关漏洞

人气 5316
评论前需绑定手机 现在绑定

全部评论 (6)

※本站提供的任何内容、代码与服务仅供学习，请勿用于非法用途，否则后果自负

京ICP备10040895号 京公网安备 11010502034610号 Copyright @ 404 Team from Knownsec. English