Discuz全版本存储型DOM XSS（可打管理员）

90_ · 发表于 2015-6-7 11:20:35

来自乌云。
Discuz编辑器JS处理不当导致的存储型XSS。

产生原因：
JS原生取ELEMENT中HTML内容的方法，会将服务端转义过的单双引号实体编码进行反转。

代码分析：
这里用最新版本本地测payload为：

[PHP] 纯文本查看 复制代码

[align="onmouseover="alert(1)]

官方论坛站点悄悄于2015-1-21改了代码，导致以上payload被过滤，不过用[email=2"onmouseover="alert(2)]2[/email]可绕过。

[PHP] 纯文本查看 复制代码

/forum.php?mod=post&action=edit&fid=xx&tid=xx&pid=xx&page=x

/static/js/common.js:

/static/js/bbcode.js:

/static/js/editor.js

调试流程：

漏洞证明：
发表帖子，编辑器内输入

[PHP] 纯文本查看 复制代码

[email=2"onmouseover="alert(2)]2[/email]

，支持的bbcode类型可在bbcode.js中查看。
点击编辑时即可触发，由于是编辑器前端产生的问题，因此有权限编辑帖子的角色都会受到影响,包括版主，管理员。

woxiangkan · 发表于 2015-6-8 09:47:31

老大，这个漏洞如果想打别人cookies应该怎么写代码呢？

08sec-君子 · 发表于 2015-6-8 12:50:14

是不是所有的dz3.2 都可以这么玩我去试试

cl476874045 · 发表于 2015-6-26 21:25:18

支持中国红客联盟(ihonker.org)

ruguoruo · 发表于 2015-6-27 05:51:52

加油！干倒冰儿和酒仙！

ljy07 · 发表于 2015-6-27 06:47:46

54hacker · 发表于 2015-6-27 14:34:24

加油！干倒冰儿和酒仙！

r00tc4 · 发表于 2015-6-27 17:26:12

感谢楼主的分享~

Lucifer · 发表于 2015-6-27 17:28:14

感谢楼主的分享~

a136 · 发表于 2015-6-27 21:04:06