搜索

[11078] 2017-03-01_KindEditor开源富文本编辑框架XSS漏洞

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-18
2017-03-01_KindEditor开源富文本编辑框架XSS漏洞 K i n d E d i t o r 开 源 富 文 本 编 辑 框 架 X S S 漏 洞 卫 士 通   F r e e B u f   2 0 1 7 - 0 3 - 0 1 * 原 创 作 者 ： 卫 士 通     安 全 服 务 事 业 部     天 龙 ， 叶 龙 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         0 × 0 1   前 言 前 言 K i n d E d i t o r   是 一 套 开 源 的 在 线 是 一 套 开 源 的 在 线 H T M L 编 辑 器 ， 主 要 用 于 让 用 户 在 网 站 上 获 得 所 见 即 所 得 编 辑 效 果 ， 开 发 人 员 可 以 用 编 辑 器 ， 主 要 用 于 让 用 户 在 网 站 上 获 得 所 见 即 所 得 编 辑 效 果 ， 开 发 人 员 可 以 用   K i n d E d i t o r   把 传 统 的 多 行 文 本 输 入 框 把 传 统 的 多 行 文 本 输 入 框 ( t e x t a r e a ) 替 换 为 可 视 化 的 富 文 本 输 入 框 。 替 换 为 可 视 化 的 富 文 本 输 入 框 。   K i n d E d i t o r   使 用 使 用   J a v a S c r i p t   编 写 ， 可 以 无 缝 地 与 编 写 ， 可 以 无 缝 地 与   J a v a 、 、 . N E T 、 、 P H P 、 、 A S P 等 程 序 集 成 ， 比 较 适 合 在 等 程 序 集 成 ， 比 较 适 合 在 C M S 、 商 城 、 论 坛 、 博 、 商 城 、 论 坛 、 博 客 、 客 、 W i k i 、 电 子 邮 件 等 互 联 网 应 用 上 使 用 。 、 电 子 邮 件 等 互 联 网 应 用 上 使 用 。 在 最 近 的 渗 透 测 试 工 作 中 ， 接 触 到 了 K i n d E d i t o r 输 入 框 架 ， 经 过 几 番 测 试 发 现 代 码 对 X S S 的 防 护 还 是 挺 全 面 的 ， 感 觉 到 底 是 开 源 代 码 ， 就 是 不 一 样 ， 但 是 总 感 觉 哪 里 不 对 ， 也 就 边 放 弃 边 继 续 。 最 终 发 现 该 框 架 还 是 存 在 一 个 X S S 注 入 的 问 题 ， 而 且 由 于 利 用 框 架 的 时 候 都 会 将 用 户 输 入 存 入 数 据 库 ， 并 对 其 他 用 户 进 行 展 示 ， 进 而 引 发 了 危 害 巨 大 的 存 储 型 X S S 漏 洞 。 0 × 0 2   测 试 过 程 测 试 过 程 首 先 ， 你 得 找 到 一 个 （ 女 朋 友 ） 使 用 这 种 框 架 的 网 站 ， 通 过 查 看 加 载 的 j s 文 件 确 认 是 否 包 含 K i n d E d i t o r 框 架 （ 外 观 如 下 图 ） ： 然 后 开 始 测 试 ， 随 意 输 入 一 段 字 符 我 们 找 的 示 例 网 站 中 ， 在 本 地 对 提 交 的 数 据 进 行 了 编 码 ， 但 是 很 明 显 可 以 看 出 是 A S C I I   H e x 编 码 ， 解 码 看 到 明 文 。 然 后 尝 试 输 入 可 以 引 入 标 签 的 尖 括 号 < >   （ 下 图 中 的 < b r > 是 客 户 端 自 己 添 加 的 ）
解 码 后 ， 我 们 可 以 看 到 开 发 人 员 在 本 地 对 尖 括 号 进 行 了 H T M L 编 码 ， 上 b u r p ， 直 接 截 取 重 放 ， 过 了 客 户 端 编 码 。 可 是 当 我 们 输 入 < s c r i p t > 时 ， 我 们 看 到 了 返 回 结 果 中 已 经 将 该 位 置 的 内 容 重 置 成 了 t e s t 1 （ 也 就 是 用 户 名 ） 这 也 就 意 味 着 服 务 端 中 的 过 滤 机 制 进 行 了 正 则 匹 配 的 过 滤 ， 只 要 < > 包 含 特 定 内 容 ， 就 直 接 替 换 成 一 个 固 定 值 。 这 样 我 们 就 不 能 成 功 的 引 入 < > 标 签 了 ， 也 就 很 难 加 入 < s c r i p t > 标 签 ， 但 是 该 位 置 的 内 容 也 不 能 结 合 属 性 标 签 进 行 注 入 ， 所 以 我 们 还 是 要 想 新 的 办 法 来 先 过 服 务 端 的 过 滤 机 制 。 尝 试 对 < > 进 行 编 码 ， 但 是 很 不 幸 的 是 ， 进 行 了 编 码 后 ， 发 现 返 回 的 内 容 要 么 乱 码 ， 要 么 是 标 签 被 作 为 内 容 直 接 插 入 ， 如 下 图 （ 如 果 是 标 签 会 被 标 识 为 蓝 色 ） 。 这 就 意 味 着 服 务 端 是 过 了 ， 但 是 K i n d E d i t o r 对 输 出 的 内 容 进 行 了 转 义 ， 使 其 不 能 作 为 标 签 插 入 H T M L 页 面 中 。 接 着 又 尝 试 输 入 空 标 签 < > 输 入 空 标 签 之 后 ， 我 们 看 到 < s c r i p t > 标 签 已 经 被 完 整 返 回 回 来 了 ， 但 是 总 感 觉 开 源 代 码 不 会 这 么 简 单 ， 果 然 在 相 关 页 面 上 ， a l e r t 语 句 并 没 有 被 执 行 ， 但 是 在 h t m l 文 档 中 可 以 看 到 < s c r i p t > 已 经 被 成 功 识 别 为 一 个 标 签 了 。 分 析 原 因 ， 应 该 是 ， 在 我 们 的 < s c r i p t > 标 签 插 入 h t m l 文 档 中 的 时 候 ， 整 个 页 面 已 经 l o a d 完 成 了 ， 所 以 < s c r i p t > 标 签 并 没 有 执 行 。 既 然 ， < s c r i p t > 标 签 没 有 被 执 行 ， 那 我 们 可 以 通 过 事 件 方 案 来 触 发 进 行 执 行 啊 ， 所 以 开 始 引 入 o n c l i c k 事 件 ，
从 返 回 结 果 来 看 ， 一 切 都 那 么 完 美 ， 感 觉 就 要 胜 利 了 ， 然 而 当 我 们 将 鼠 标 点 上 去 的 时 候 ， 所 有 的 幻 想 都 破 灭 了 ， 弹 出 一 个 新 标 签 页 ， 然 后 什 么 也 没 有 了 ， 说 好 的 弹 窗 呢 。 查 看 页 面 完 美 的 开 源 代 码 ， 将 事 件 处 理 函 数 修 改 了 ， 所 以 不 能 成 功 执 行 。 通 过 测 试 其 他 的 事 件 和 使 用 J a v a S c r i p t 伪 协 议 ， 都 是 同 样 的 问 题 ， 在 o n 和 j a v a 之 后 添 加 了 下 划 线 。 到 底 是 开 源 代 码 ， 服 了 ， 好 吧 ， 该 放 弃 这 个 女 朋 友 了 。 但 是 总 感 觉 哪 里 有 问 题 ， 不 该 是 这 样 的 结 局 ， 开 始 重 新 整 理 思 路 :   < > 空 标 签 可 以 帮 我 们 绕 过 服 务 端 基 本 的 过 滤 机 制 ， 但 是 新 加 入 的 < s c r i p t > 不 能 被 成 功 执 行 ， 事 件 处 理 函 数 又 被 K i n d E d i t o r 给 清 洗 了 ， 那 可 不 可 以 试 试 其 他 标 签 ， 不 需 要 其 他 通 过 事 件 监 听 来 触 发 的 标 签 呢 ， 还 真 被 我 找 到 了 ， 成 功 穿 过 K i n d E d i t o r 的 围 堵 。 终 于 ， 看 到 了 我 们 最 喜 爱 的 弹 窗 ， 收 工 。 （ 由 于 还 在 于 框 架 作 者 进 行 联 系 ， 所 以 这 里 不 方 便 透 漏 具 体 的 注 入 代 码 ） 。 0 × 0 3   源 码 分 析 源 码 分 析
为 了 确 定 是 网 站 开 发 人 员 使 用 的 问 题 还 是 K i n d E d i t o r 本 身 的 问 题 ， 我 们 前 往 官 网 下 载 它 的 源 代 码 进 行 分 析 。 整 个 项 目 的 目 录 结 构 如 下 打 开 K i n d E d i t o r - a l l . j s 文 件 ， 开 始 分 析 。 如 果 K i n d E d i t o r 本 身 做 了 处 理 ， 肯 定 是 以 关 键 字 f i l t e r 定 义 的 ， 全 局 搜 索 f i l t e r 。 发 现 代 码 中 f i l t e r 相 关 的 参 数 被 _ f o r m a t H t m l 函 数 调 用 。 找 到 该 函 数 的 定 义
从 函 数 定 义 中 我 们 可 以 看 到 K i n d E d i t o r 确 实 对 输 入 内 容 进 行 了 相 关 的 过 滤 ， 只 是 在 过 滤 时 并 未 完 美 处 理 所 有 的 输 入 情 况 。 通 过 分 析 源 代 码 我 们 也 可 以 看 到 ， K i n d E d i t o r 确 实 也 没 有 对 我 们 输 入 的 标 签 进 行 过 滤 ， 从 而 引 发 了 X S S 注 入 的 问 题 。 0 × 0 4   总 结 总 结 从 K i n d E d i t o r 的 官 方 网 站 h t t p : / / k i n d e d i t o r . n e t 的 案 例 页 面 我 们 可 以 看 到 国 内 还 是 有 很 多 网 站 使 用 了 相 关 技 术 ， 下 面 是 一 些 使 用 这 些 网 站 的 厂 商 。
但 是 之 后 ， 对 上 面 提 到 的 网 站 进 行 测 试 ， 发 现 其 中 的 一 部 分 网 站 已 经 没 有 在 使 用 相 关 代 码 了 ， 但 是 从 K i n d E d i t o r 的 g i t h u b 主 页 上 看 到 还 是 有 很 大 一 部 分 人 关 注 这 一 项 目 ， 这 就 证 明 还 是 有 很 多 人 在 使 用 这 一 框 架 。 只 要 使 用 就 可 能 会 存 在 这 样 的 存 储 型 的 X S S 漏 洞 ， 至 于 X S S 漏 洞 的 危 害 ， 就 不 需 要 多 说 了 。 0 × 0 5   防 范 措 施 防 范 措 施 在 开 发 过 程 中 开 发 人 员 不 能 过 度 依 赖 第 三 方 库 所 做 的 防 范 ， 还 是 需 要 在 内 容 输 出 时 进 行 H t m l 编 码 ， 或 者 完 善 已 有 的 过 滤 规 则 ， 从 而 杜 绝 类 似 的 注 入 攻 击 。 0 × 0 6   感 谢 感 谢 感 谢 斌 爷 在 整 个 测 试 过 程 中 对 我 前 端 相 关 技 术 的 指 导 ， 这 个 女 朋 友 有 你 一 半 。 * 原 创 作 者 ： 卫 士 通     安 全 服 务 事 业 部     天 龙 ， 叶 龙 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载    
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理