搜索

[13905] 2019-03-24_ECShop4.0反射型XSS漏洞分析

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-03-24_ECShop4.0反射型XSS漏洞分析 E C S h o p   4 . 0 反 射 型 X S S 漏 洞 分 析 C y c 1 i n g   F r e e B u f   2 0 1 9 - 0 3 - 2 4 前 言 ： 前 言 ：   E c s h o p 是 国 内 的 一 款 开 源 的 电 商 框 架 ， 在 国 内 应 用 较 为 广 泛 ， 当 前 最 新 版 本 为 是 国 内 的 一 款 开 源 的 电 商 框 架 ， 在 国 内 应 用 较 为 广 泛 ， 当 前 最 新 版 本 为 4 . 0 . 0 ， 最 近 对 其 代 码 进 ， 最 近 对 其 代 码 进 行 了 简 单 的 分 析 ， 发 现 可 以 绕 过 其 行 了 简 单 的 分 析 ， 发 现 可 以 绕 过 其 f i l t e r 触 发 触 发 X S S 。 。 一 、 漏 洞 利 用 方 式 一 、 漏 洞 利 用 方 式 发 送 G E T 请 求 包 如 下 ： 其 中 漏 洞 触 发 代 码 为 ： 实 现 绕 过 过 滤 规 则 ， 触 发 X S S 漏 洞 的 效 果 。 二 、 相 关 环 境 二 、 相 关 环 境 版 本 ： E C S h o p 4 . 0 . 0 漏 洞 类 型 ： 反 射 型 X S S 本 地 环 境 ： p h p 5 . 6 . 2 7 +   A p a c h e   +   M y s q l 三 、 漏 洞 分 析 三 、 漏 洞 分 析 该 X S S 漏 洞 路 口 点 在 u s e r . p h p 文 件 ， 查 看 u s e r . p h p ： 3 2 8 行 在 用 户 登 入 界 面 的 处 理 代 码 中 ， 首 先 变 量 $ a c t i o n 赋 值 为 l o g i n 进 入 主 体 代 码 ， 若 变 量 $ b a c k _ a c t 为 空 并 且 请 求 包 中 存 在 R E F E R E R 字 段 ， 则 将 R E F E R E R 字 段 中 的 内 容 赋 值 给 变 量 $ b a c k _ a c t ， 这 是 导 致 该 漏 洞 的 直 接 原 因 ， 对 $ b a c k _ a c t 变 量 赋 值 过 后 传 入 a s s i g n 函 数 进 行 处 理 ， 其 中 $ s m a r t y 是 模 版 类 c l s _ t e m p l a t e 的 实 例 化 ： / i n c l u d e s / i n i t . p h p ： 1 7 0 行 G E T / C M S / E C S h o p _ V 4 . 0 . / u s e r . p h p   H T T P / 1 . 1 R e f e r e r : h t t p s : / / 1 2 7 . 0 . 0 . 1 "   / > < a   h r e f = j & # 9 7 v & # 9 7 s c r i p t : & # 9 7 l e r t ( ' C y c 1 e _ t e s t ' ) > < i m g s r c = " x x x x x U s e r - A g e n t : M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 2 1   ( K H T M L ,   l i k e   G e c k o ) C h r o m e / 4 1 . 0 . 2 2 2 8 . 0   S a f a r i / 5 3 7 . 2 1 C o o k i e : E C S _ I D = 1 7 b 6 0 8 d 2 a 6 7 9 c f 2 c 7 e 8 6 1 1 5 8 1 4 7 8 e 6 9 2 9 d b f b 3 4 b ; E C S [ v i s i t _ t i m e s ] = 2 C o n n e c t i o n : k e e p - a l i v e A c c e p t :   * / * A c c e p t - E n c o d i n g : g z i p , d e f l a t e H o s t :   1 2 7 . 0 . 0 . 1 R e f e r e r : h t t p s : / / 1 2 7 . 0 . 0 . 1 "   / > < a h r e f = j & # 9 7 v & # 9 7 s c r i p t : & # 9 7 l e r t ( ' C y c 1 e _ t e s t ' ) > < i m g s r c = " x x x x x
所 以 查 看 a s s i g n 函 数 时 跟 进 到 模 版 类 c l s _ t e m p l a t e 中 查 看 ： / i n c l u d e s /   c l s _ t e m p l a t e . p h p ： 7 0 行 对 传 入 变 量 名 和 变 量 值 进 行 变 量 注 册 ， 我 们 可 以 传 入 非 数 组 数 据 对 $ b a c k _ a c t 进 行 变 量 注 册 ， 注 册 完 毕 回 到 u s e r . p h p 代 码 ， 继 续 跟 进 模 版 类 中 的 d i s p l a y 函 数 ： / i n c l u d e s /   c l s _ t e m p l a t e . p h p ： 1 0 0 行 调 用 f e t c h 函 数 进 行 u s e r _ p a s s p o r t . d w t 文 件 的 页 面 显 示 ， 也 就 是 显 示 用 户 登 入 页 面 ， 其 中 在 u s e r _ p a s s p o r t . d w t 文 件 中 ：
$ b a c k _ a c t 值 被 赋 值 给 i n p u t 标 签 中 的 v a l u e , 所 以 我 们 控 制 了 $ b a c k _ a c t 变 量 值 便 可 以 在 h t m l 页 面 中 插 入 j s 代 码 。 四 、 绕 过 全 局 四 、 绕 过 全 局 W a f 触 发 触 发 X S S E c s h o p 中 定 义 了 全 局 安 全 过 滤 规 则 ， 查 看 代 码 ： / i n c l u d e s / s a f e t y . p h p 这 个 过 滤 规 则 比 较 简 单 粗 暴 ， 利 用 ’ o n [ a - z A - Z ] { 3 , 1 5 } ’   过 滤 了 所 有 的 o n 开 头 j s 事 件 ， 所 以 用 事 件 触 发 是 较 为 困 难 了 ， 并 且 < s c r i p t 、 a l e r t 、 e v a l 、 d a t a 、 J a v a s c r i p t 等 敏 感 字 符 ， 继 续 查 看 代 码 ： $ b a c k _ a c t 的 值 如 果 不 是 数 组 便 传 入 f i l t e r ( ) 函 数 中 利 用 p r e g _ m a t c h 进 行 字 符 校 验 ， 这 里 利 用 了 / i ， 所 以 不 区 分 大 小 写 ， 无 法 利 用 大 小 写 的 方 式 进 行 绕 过 ， 不 过 这 里 的 敏 感 字 符 过 滤 也 不 全 ， 例 如 对 于 弹 窗 的 j s 函 数 c o n f i r m 就 可 以 被 利 用 ， 所 以 主 要 考 虑 的 是 如 何 绕 过 过 滤 检 测 。 我 利 用 了 H T M L 的 实 体 编 码 来 进 行 绕 过 ， 在   H T M L   中 ， 某 些 字 符 是 预 留 的 ， 比 如 不 能 使 用 小 于 号 （ < ） 和 大 于 号 （ > ） ， 这 是 因 为 浏 览 器 会 误 认 为 它 们 是 标 签 。 如 果 希 望 正 确 地 显 示 预 留 字 符 ， 我 们 必 须 在   H T M L   源 代 码 中 使 用 字 符 实 体 ， 如 需 显 示 小 于 号 ， 我 们 必 须 这 样 写 ： <   或   < ， 其 中 ’ <   ‘ 便 是 小 于 号 （ < ） 的 H T M L 实 体 编 码 ， 并 且 不 仅 是   “ < ” ” > ” 这 样 的 能 编 码 ， 所 有 字 符 均 能 编 码 ， a - z A - Z 的 H T M L 实 体 编 码 方 式 是 & # [ 字 符 A C C I I 编 码 ] ， 例 如 a - > & # 9 7 。
所 以 可 以 利 用 这 一 编 码 方 式 进 行 构 造 P O C ： 其 中 j & # 9 7 v & # 9 7 s c r i p t : & # 9 7 l e r t ( ‘ C y c 1 e _ t e s t ’ ) 可 以 绕 过 x s s 过 滤 规 则 的 匹 配 从 而 绕 过 服 务 端 的 安 全 过 滤 植 入 h t m l 页 面 中 ， 经 过 h t m l 编 码 解 析 会 恢 复 成 j a v a s c r i p t : a l e r t ( ‘ C y c 1 e _ t e s t ’ ) ， 从 而 触 发 执 行 ， 效 果 如 图 ： 通 过 点 击 图 片 可 以 直 接 触 发 漏 洞 绕 过 触 发 的 方 式 不 唯 一 。 五 、 总 结 五 、 总 结 漏 洞 挖 掘 主 要 在 于 一 定 的 技 术 基 础 ， 充 分 的 经 验 积 累 以 及 一 些 运 气 所 在 ， 挖 掘 的 漏 洞 不 在 大 小 ， 每 一 漏 洞 都 是 一 次 成 长 ， 新 手 挖 掘 文 章 ， 希 望 大 牛 们 批 评 指 正 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： C y c 1 i n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 R e f e r e r :   [ h t t p s : / / 1 2 7 . 0 . 0 . 1 ] ( h t t p s : / / 1 2 7 . 0 . 0 . 1 ) " / > < a   h r e f = j & # 9 7 v & # 9 7 s c r i p t : & # 9 7 l e r t ( ' C y c 1 e _ t e s t ' ) > < i m g s r c = " x x x x x
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理