Aug
21
首发 ~ QQ Fiba 跨站脚本漏洞
漏洞说明：看上去http://fiba.qq.com/其实是Fiba的站点，腾讯跟FIBA合作后把原来http://www.fiba.com/与域名同等解析，即无论访问哪个站点都是一样的页面，具体的信息可以访问http://fiba.qq.com/。前段时间我不经意的在http://fiba.qq.com/里发现了一个很简单的跨站脚本漏洞，其实这不是腾讯的代码，是http://www.fiba.com/做的太差了。至于跨站的漏洞，我不再多说，至少利用此漏洞，大家可以安全的通过QQ传播木马了！
漏洞原因：http://fiba.qq.com/asp_scripts/imgPopup.asp图片显示页面直接获取并显示request到的url值，无任何过滤，导致用户可以提交任意代码，甚至是恶意的木马地址转向。
漏洞利用：
前面的提示是安全网址，可以点进去就已经到了http://www.oldjun.com了，如下图：
测试代码：
http://fiba.qq.com/asp_scripts/imgPopup.asp?url=javascript:alert(/xss/)
源代码：
<body style="background:white; margin:0px" onload="initPage()">
<a href="javascript:window.close()" title="Click to close">
<img id="img" src="javascript:alert(/xss/)" border="0" />
</a>
</body>
提交的url变量直接被用到img标签里，无任何过滤，导致跨站出现！
漏洞状态：已经提交官方，尚未修复~
本文仅限安全研究，请大家不要恶意传播~
瞧这种跨站 YY一下还是可以的