搜索

[16764] 2021-05-09_UEditor编辑器存储型XSS漏洞挖掘

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2021-05-09_UEditor编辑器存储型XSS漏洞挖掘 U E d i t o r 编 辑 器 存 储 型 X S S 漏 洞 挖 掘 卡 卡 罗 特   F r e e B u f   2 0 2 1 - 0 5 - 0 9 前 言 前 言 U E d i t o r 是 由 百 度 w e b 前 端 研 发 部 开 发 的 所 见 即 所 得 富 文 本 w e b 编 辑 器 ， 具 有 轻 量 ， 可 定 制 ， 注 重 用 户 体 验 等 特 点 。 U E d i t o r 存 在 一 个 X S S 漏 洞 ， 编 辑 器 在 定 义 过 滤 规 则 的 时 候 不 严 和 读 取 内 容 的 时 候 的 绕 过 导 致 了 该 漏 洞 ， 目 前 此 漏 洞 已 经 上 报 。 漏 洞 成 因 分 析 漏 洞 成 因 分 析 漏 洞 文 件 产 生 在 前 端 配 置 文 件 u e d i t o r . c o n f i g . j s ： 以 下 为 纯 文 本 粘 贴 为 t r u e 时 的 过 滤 规 则 ， 对 一 些 危 险 的 标 签 没 有 做 过 滤 ， 怪 不 得 好 多 二 次 开 发 的 。 如 下 图 ， 在 官 方 文 档 里 也 进 行 了 说 明 ， 通 过 g e t C o n t e n t 和 s e t C o n t e n t 方 法 用 标 签 读 取 编 辑 器 内 容 / / 纯 文 本 粘 贴 模 式 下 的 过 滤 规 则         / / ' f i l t e r T x t R u l e s '   :   f u n c t i o n ( ) {         / /         f u n c t i o n   t r a n s P ( n o d e ) {         / /                 n o d e . t a g N a m e   =   ' p ' ;         / /                 n o d e . s e t S t y l e ( ) ;         / /         }         / /         r e t u r n   {         / /                 / / 直 接 删 除 及 其 字 节 点 内 容         / /                 ' - '   :   ' s c r i p t   s t y l e   o b j e c t   i f r a m e   e m b e d   i n p u t   s e l e c t ' ,         / /                 ' p ' :   { $ : { } } ,         / /                 ' b r ' : { $ : { } } ,         / /                 ' d i v ' : { ' $ ' : { } } ,         / /                 ' l i ' : { ' $ ' : { } } ,         / /                 ' c a p t i o n ' : t r a n s P ,         / /                 ' t h ' : t r a n s P ,         / /                 ' t r ' : t r a n s P ,         / /                 ' h 1 ' : t r a n s P , ' h 2 ' : t r a n s P , ' h 3 ' : t r a n s P , ' h 4 ' : t r a n s P , ' h 5 ' : t r a n s P , ' h 6 ' : t r a n s P ,         / /                 ' t d ' : f u n c t i o n ( n o d e ) {         / /                         / / 没 有 内 容 的 t d 直 接 删 掉         / /                         v a r   t x t   =   ! ! n o d e . i n n e r T e x t ( ) ;         / /                         i f ( t x t ) {         / /                                 n o d e . p a r e n t N o d e . i n s e r t A f t e r ( U E . u N o d e . c r e a t e T e x t ( '   & n b s p ;   & n b s p ; ' ) , n o d e ) ;         / /                         }         / /                         n o d e . p a r e n t N o d e . r e m o v e C h i l d ( n o d e , n o d e . i n n e r T e x t ( ) )         / /                 }         / /         }         / / } ( )
H T M L 中 的 p 标 签 为 段 落 标 签 ， 目 前 所 有 主 流 浏 览 器 都 支 持 标 签 。 从 编 辑 器 里 的 左 上 角 显 示 h t m l 可 以 看 出 ， 是 带 有 标 签 的 ， 所 以 在 标 签 内 写 入 p a y l o a d 是 不 被 执 行 的 # 通 g e t C o n t e n t 和 s e t C o n t e n t 方 法 可 以 设 置 和 读 取 编 辑 器 的 内 容 v a r   u e   =   U E . g e t E d i t o r ( ) ; / / 对 编 辑 器 的 操 作 最 好 在 编 辑 器 r e a d y 之 后 再 做 u e . r e a d y ( f u n c t i o n ( ) {         / / 设 置 编 辑 器 的 内 容         u e . s e t C o n t e n t ( ' h e l l o ' ) ;         / / 获 取 h t m l 内 容 ， 返 回 :   < p > h e l l o < / p >         v a r   h t m l   =   u e . g e t C o n t e n t ( ) ;         / / 获 取 纯 文 本 内 容 ， 返 回 :   h e l l o         v a r   t x t   =   u e . g e t C o n t e n t T x t ( ) ; } ) ;
如 下 图 ， 在 删 除 掉 标 签 后 写 入 p a y l o a d 可 触 发 X S S 漏 洞
如 果 没 有 提 交 或 者 保 存 的 功 能 ， 那 么 无 法 与 数 据 库 交 互 形 成 存 储 X S S ， 但 是 依 然 可 多 次 点 击 左 上 角 h t m l 按 钮 触 发 x s s 漏 洞 利 用 漏 洞 利 用 首 先 安 装 部 署 环 境 ： h t t p s : / / g i t h u b . c o m / f e x - t e a m / u e d i t o r / r e l e a s e s / t a g / v 1 . 4 . 3 . 3 存 储 型 X S S 需 要 写 入 后 端 数 据 库 ， 这 里 要 把 编 辑 器 部 署 到 一 个 可 与 数 据 库 交 互 的 环 境 中 。 首 先 我 们 打 开 编 辑 器 输 入 正 常 的 文 本 ：
抓 包 并 将 标 签 以 及 原 本 的 文 本 删 除
插 入 p a y l o a d ： 成 功 触 发 存 储 型 X S S 漏 洞 % 3 C p % 3 E 1 1 1 1 1 1 1 " > < I m G   s R c = 1   O n E r R o R = p r o m p t ( 1 ) > % 3 C b r % 2 F % 3 E % 3 C % 2 F p % 3 E
经 笔 者 调 查 在 互 联 网 上 存 在 着 许 多 u e d i t o r 编 辑 器 在 线 展 示 的 网 站 ， 这 些 大 都 存 在 没 有 与 后 端 交 互 的 反 射 型 X S S ， 但 是 如 果 存 在 与 后 端 数 据 库 交 互 的 功 能 譬 如 一 些 写 作 平 台 即 可 形 成 存 储 型 X S S 漏 洞 ， 结 合 一 些 x s s 平 台 ， 或 者 再 和 其 他 漏 洞 配 合 形 成 组 合 拳 ， 威 力 也 不 容 小 藐 。 防 御 措 施 防 御 措 施 1 、 修 改   x s s 过 滤 白 名 单   配 置 文 件 u e d i t o r . c o n f i g . j s ， 增 加 白 名 单 过 滤 ， 比 如 对 一 些 非 法 的 参 数 和 标 签 ， 像   < > 、 , ” , ’ ， i m g 标 签 的 o n e r r o r 属 性 ， s c r i p t 标 签 等 进 行 自 动 转 义 ， 或 者 是 强 制 的 拦 截 并 提 示 。 2 、 对 输 入 的 数 据 也 进 行 h t m l 转 义 ， 使 其 不 会 识 别 为 可 执 行 脚 本 。
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理