360云盘存储型XSS可打他人用户

编号101638
Urlhttp://www.wooyun.org/bug.php?action=view&id=101638
漏洞状态厂商已经确认
漏洞标题360云盘存储型XSS可打他人用户
漏洞类型XSS跨站脚本攻击
厂商奇虎360
白帽子梧桐雨
提交日期2015-03-16 14:46:00
公开日期2015-04-30 18:48:00
修复时间(not set)
确认时间2015-03-16 00:00:00
Confirm Spend0
漏洞标签持久型xss 存储型xss
关注数0
收藏数0
白帽评级
白帽自评rank12
厂商评级
厂商评rank1
漏洞简介
看360浏览器顺手捡的,提一下。。
漏洞细节

本地构建一个网页:
testxss.htm:
360yunpan poc:

<title>poc</title>
<meta name="description" content="<script>alert(location.href)</script>"/>


网页内容可以更诱惑一点,让别人把该页面分享到网盘中。一旦分享到,下次用户打开网盘(url地址为:http://se23.yunpan.360.cn/,一定要首页,否则会被过滤,猜测应该是你们过滤有区分?)的时候就会触发:

360s.jpg


360.jpg


因为360云盘打到的cookie是可以登录个人中心的,而且没有httponly。危害还是挺大的。

POC

利用打到的cookie登录

11.jpg


cookie没有设置httponly

555.jpg

修复方案

过滤输出:

99.jpg

状态信息 2015-03-16: 细节已通知厂商并且等待厂商处理中
2015-03-16: 厂商已经确认,细节仅向厂商公开
2015-03-26: 细节向核心白帽子及相关领域专家公开
2015-04-05: 细节向普通白帽子公开
2015-04-15: 细节向实习白帽子公开
2015-04-30: 细节向公众公开
厂商回复感谢您的反馈,已通知相关业务修复。
回应信息危害等级:低漏洞Rank:1 确认时间:2015-03-16 18:29
Showing 1-22 of 22 items.
评论内容评论人点赞数评论时间

@奇虎360 你们每次都这样,给低分,还各种掩饰漏洞吗?

zsrkmyn02015-05-03 01:34:00

好屌的样子@奇虎360 不管怎么样 也不能给一分啊 起码尊重下梧桐的劳动成果

Catsay02015-04-30 22:48:00

360无视乌云呀

JotPot02015-04-30 21:19:00

@奇虎360 1分 完全是蔑视的感觉啊~ 怎么算都不应该是1分吧?我感觉这样是在调戏人呢?

Ton7BrEak02015-03-17 11:28:00

@奇虎360 云盘的确没有设置httponly,你可以看图,我不认为这个漏洞还比不上一个反射性的xss

梧桐雨02015-03-17 10:16:00

@梧桐雨 并且,360全线业务cookie都已设置了httponly,并非像您描述中提到的没有设置。

奇虎36002015-03-17 10:11:00

@梧桐雨 此XSS漏洞成功利用的前提需要诱导用户主动操作,有一定门槛,并且触发点同样有条件限制,因此我们评1分。

奇虎36002015-03-17 10:09:00

这是一种精神!赞!

Code_Monkey02015-03-17 08:46:00

分享?

M4sk02015-03-16 21:43:00

@梧桐雨 360也不过如此吧~可能是看到你前面的评论~呵呵~

Ton7BrEak02015-03-16 21:32:00

前几天就听有人说,360网盘里面的片子神秘失踪了....原来是你.

浮世浮城02015-03-16 21:06:00

总算知道我那5TB的爱情动作大片是谁删除的了 混蛋啊 还我大片 还我妹纸

小清新02015-03-16 20:18:00

前几天就听有人说,360网盘里面的片子神秘失踪了....原来是你.

90Snake02015-03-16 19:07:00

1分,呵呵,用户数据真不值钱。

梧桐雨02015-03-16 18:33:00

@梧桐雨 我赞同这个观点~~不能忘本啊~

mango02015-03-16 17:20:00

@梧桐雨 学习,也学习这种精神

香草02015-03-16 17:05:00

@明月影 倒不是境界。。很多思路都是从乌云学的,投之以李还之以桃而已

梧桐雨02015-03-16 16:42:00

@梧桐雨 佩服境界。

明月影02015-03-16 16:38:00

@Pentest.mobi 从来没有在360src提交过,10倍也无感

梧桐雨02015-03-16 16:29:00

360src本月5倍奖金活动,存储型xss至少5000大洋~ 亏大了。

Pentest.mobi02015-03-16 16:28:00

前几天就听有人说,360网盘里面的片子神秘失踪了....原来是你....

Jn·02015-03-16 15:49:00

真狠……

泳少02015-03-16 14:52:00