搜索

[8792] 2015-03-26_在HTML5移动应用中挖掘XSS漏洞

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-17
2015-03-26_在HTML5移动应用中挖掘XSS漏洞 在 H T M L 5 移 动 应 用 中 挖 掘 X S S 漏 洞 F r e e B u f   2 0 1 5 - 0 3 - 2 6 微 信 号 ： 微 信 号 ： f r e e b u f L i n u s ( @ _ z u l l n ) 是 一 位 有 着 是 一 位 有 着 1 5 年 漏 洞 挖 掘 经 验 的 瑞 士 黑 客 ， 本 文 就 是 他 写 的 。 年 漏 洞 挖 掘 经 验 的 瑞 士 黑 客 ， 本 文 就 是 他 写 的 。 现 在 使 用 现 在 使 用 H T M L 5 开 发 移 动 开 发 移 动 A P P 越 来 越 受 欢 迎 。 越 来 越 受 欢 迎 。 H T M L 5 不 仅 开 发 效 率 高 ， 而 且 可 以 跨 平 台 ， 代 码 重 用 性 也 很 高 。 不 仅 开 发 效 率 高 ， 而 且 可 以 跨 平 台 ， 代 码 重 用 性 也 很 高 。 Z o h o （ 全 球 第 一 大 在 线 软 件 提 供 商 ， 总 部 位 于 美 国 ） 是 一 个 有 着 （ 全 球 第 一 大 在 线 软 件 提 供 商 ， 总 部 位 于 美 国 ） 是 一 个 有 着 1 3 0 0 万 用 户 的 万 用 户 的 H T M L 5 邮 件 系 统 ， 我 打 算 挖 挖 他 们 的 邮 件 系 统 ， 我 打 算 挖 挖 他 们 的 漏 洞 。 漏 洞 。 寻 找 寻 找 H t m l 和 和 J a v a s c r i p t 代 码 代 码 首 先 我 从 G o o g l e   P l a y 上 下 载 了 A P K ， 用 解 压 软 件 打 开 。 a s s e t s 文 件 夹 中 有 很 多 h t m l 文 件 ， h t m l 文 件 和 j a v a s c r i p t 文 件 要 比 j a v a 文 件 读 起 来 易 懂 很 多 。
翻 了 几 下 之 后 我 发 现 m a i l D e t a i l . h t m l 是 用 来 显 示 邮 件 内 容 的 ， 这 里 有 一 个 漏 洞 非 常 有 趣 。 读 了 代 码 ， 懂 了 代 码 结 构 之 后 ， 发 现 它 调 用 了 读 了 代 码 ， 懂 了 代 码 结 构 之 后 ， 发 现 它 调 用 了 s e t C o n t e n t 方 法 ： 方 法 ： f u n c t i o n   s e t C o n t e n t ( c o n t e n t T o S e t , m a r g i n ) { d o c u m e n t . b o d y . s t y l e . m a r g i n T o p   =   m a r g i n   +   " p x " ; d o c u m e n t . b o d y . s t y l e . m a r g i n B o t t o m   =   " 1 0 p x " ; s e t B a s e U R L ( ) ; d o c u m e n t . g e t E l e m e n t B y I d ( ' m a i l c o n t e n t i d ' ) . i n n e r H T M L   =   " " ; h a n d l e C o n t e n t F o r M a i l T h r e a d ( $ ( ' m a i l c o n t e n t i d ' ) ,   c o n t e n t T o S e t ) ; a n d r o i d R e s p o n s e ( ) ; } f u n c t i o n   h a n d l e C o n t e n t F o r M a i l T h r e a d ( c o n t e n t E l , v a l u e )   { v a r   i n d   =   v a l u e . i n d e x O f ( " < b l o c k q u o t e " ) ; / /   N O   I 1 8 N i f ( i n d   <   0 )   { a d d C o n t e n t T o E l e m e n t ( c o n t e n t E l , v a l u e ) ; r e t u r n ; } e l s e { / /   r e m o v e d   5 4   l i n e s   h e r e   f o r   r e a d a b i l i t y } } f u n c t i o n   a d d C o n t e n t T o E l e m e n t ( c o n t e n t E l , v a l u e ) { c o n t e n t E l . i n n e r H T M L   =   v a l u e ; a d d L i s t e n e r ( ) ; } 如 果 你 跟 踪 c o n t e n t T o S e t 变 量 ( 应 该 是 邮 件 内 容 ) ， 你 会 发 现 j a v a s c r i p t 代 码 中 没 有 对 数 据 做 任 何 转 义 操 作 ， 所 以 ， 如 果 有 任 何 转 义 或 者 安 全 操 作 ， 都 只 能 是 在 服 务 端 做 的 ， 或 者 在 j a v a 代 码 中 做 的 。 确 定 邮 件 内 容 是 否 做 过 安 全 处 理 确 定 邮 件 内 容 是 否 做 过 安 全 处 理 最 简 单 的 办 法 就 是 在 s e t C o n t e n t 函 数 的 开 始 未 知 加 入 p a y l o a d 代 码 ， 比 如 a l e r t ( c o n t e n t T o S e t ) , 然 后 打 包 重 签 名 。 我 在 a p k   包 中 加 入 了 如 下 几 个 p a y l o a d ：
t e s t < j u k k h t t p : / / t e s t < j u k k h t t p : / / t e s t % 3 C j u k k 结 果 如 下 ： 前 两 个 p a y l o a d 被 正 确 处 理 了 ， 但 是 第 三 个 p a y l o a d ( 我 事 先 对 数 据 做 了 u r l 编 码 ) 中 显 示 了 一 个 < 尖 括 号 。 貌 似 后 台 有 一 个 黑 名 单 ， 如 果 时 间 足 够 ， 这 些 黑 名 单 肯 定 可 以 被 绕 过 ， 但 是 我 对 手 工 f u z z i n g 已 经 无 感 了 ， 所 以 我 走 了 另 外 一 条 路 。 逆 向 逆 向 A P K 我 没 有 写 过 a p k ， 所 以 我 决 定 寻 找 w e b v i e w 相 关 的 代 码 来 读 ， 当 我 找 到 从 j a v a 传 递 数 据 到 h t m l 的 代 码 的 时 候 ， 我 被 w e b V i e w . l o a d U r l 绊 倒 了 ， 这 明 显 可 以 执 行 j a v a s c r i p t 代 码 呀 ： w e b V i e w . l o a d U r l ( " j a v a s c r i p t : i n i t i a l i z e ( "   +   m y N u m b e r   +   " ) ; " ) ; 很 明 显 z o h o 使 用 了 跟 上 面 类 似 的 代 码 ， 才 使 得 前 面 用 u r l 编 码 过 得 数 据 正 确 地 显 示 出 来 。 通 过 使 用 d e x 2 j a r 将 a p k 逆 向 为 . j a r 文 件 ， 我 使 用 J D - G U I 阅 读 这 些 j a r 文 件 ， 我 搜 索 了 s e t C o n t e n t 函 数 ( 之 前 提 到 的 j a v a s c r i p t 函 数 ) ， t h i s . w e b V i e w . l o a d U r l ( " j a v a s c r i p t : s e t C o n t e n t ( "   +   J S O N O b j e c t . q u o t e ( t h i s . c o n t e n t )   +   " , "   +   i   +   " ) " ) ; 正 如 你 看 到 的 ， z o h o 使 用 了 类 似 的 代 码 。 总 结 总 结 z o h o 使 用 了 w e b v i e w . l o a d u r l 方 法 来 调 用 s e t C o n t e n t 方 法 ， 这 告 诉 我 们 什 么 ？ 用 这 种 方 式 打 开 u r i ， 里 面 的   j a v a s c r i p t 就 会 被 执 行 ， 任 何 p c t - e n c o d e   u g o 的 代 码 都 会 被 当 做 正 常 代 码 来 执 行 。
下 面 这 些 代 码 很 容 易 理 解 / /   t h i s   l i n e   o f   c o d e : l o c a t i o n . h r e f   =   ' j a v a s c r i p t : s e t C o n t e n t ( " % 2 2 - a l e r t % 2 8 1 % 2 9 - % 2 2 " ) ' ; / /   i s   t h e   s a m e   a s   t h i s : l o c a t i o n . h r e f   = ' j a v a s c r i p t : s e t C o n t e n t ( " " - a l e r t ( 1 ) - " " ) ' ; 问 题 很 明 显 ， 通 过 在 邮 件 中 的 任 意 地 方 包 含 如 下 的 p a y l o a d ， 就 可 以 在 邮 件 客 户 端 中 执 行 任 意 j a v a s c r i p t 代 码 ： % 2 2 - a l e r t % 2 8 1 % 2 9 - % 2 2 总 结 总 结 在 我 将 这 个 漏 洞 报 告 给 z o h o 几 天 过 后 ， 他 们 在 G o o g l e   P l a y 上 发 布 了 新 版 ， 并 且 我 收 到 邮 件 被 告 知 已 经 有 其 他 人 给 z o h o 报 告 了 这 个 漏 洞 。 我 觉 得 这 个 漏 洞 非 常 有 趣 ， 其 他 很 多 我 觉 得 这 个 漏 洞 非 常 有 趣 ， 其 他 很 多 A P P 可 能 会 有 很 多 相 似 的 漏 洞 。 不 过 在 使 用 可 能 会 有 很 多 相 似 的 漏 洞 。 不 过 在 使 用 H T M L 开 发 的 应 用 中 寻 找 漏 洞 比 在 开 发 的 应 用 中 寻 找 漏 洞 比 在 w e b 中 寻 找 漏 洞 要 难 一 些 。 让 我 们 一 起 挖 洞 拯 救 世 界 ， 让 互 联 网 更 安 全 吧 ！ 中 寻 找 漏 洞 要 难 一 些 。 让 我 们 一 起 挖 洞 拯 救 世 界 ， 让 互 联 网 更 安 全 吧 ！ 消 息 来 源 d e t e c t i f y . c o m ， 翻 译 / C o n e r m x ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理