Xeye Team

#[+]Exploit Title: IE&Chrome&Firefox Status Bar Spoofing Vulnerability
#[+]Date: 17\04\2011
#[+]Author: xisigr
#[+]Version: IE9.0&Chrome all version & Firefox4.0
#[+]Tested On: WIN 7
#[+]CVE: N/A

这个漏洞存在于谷歌浏览器所有版本和火狐浏览器4.0版本以及IE9.0版本中。在这些浏览器中是没有固定状态栏的，只有当你用鼠标放到有链接的控件上时，状态栏才会出现，状态栏中将显示这个链接的地址。那么状态栏使用这样的设计模式，逻辑上就会存在一些错误。攻击者用脚本模拟一个点击控件，当鼠标移动到此控件时，攻击者再使用图片或文本去模拟状态栏模块，此时就达到了状态栏欺骗的效果。当用户点击控件链接，转向的地址并非是状态栏中看到的地址，而转向了一个用户未知的恶意地址。这和传统的状态栏欺骗有所不同，当攻击者可以使用HTML语言去模拟浏览器一个固定模块的时候，欺骗就会发生。感谢hysia对POC的优化&evilcos的讨论。

DEMO: Spoof_statusbar

浏览器在处理用户发起请求时的urlencode策略存在差异，导致在某些场景中出现XSS漏洞。最近知道创宇的Web漏洞扫描器发现了多起这种类型的跨站，这些网站都是PHP类型的网站，包括一些国内知名的团购网站与游戏论坛。经过分析，导致这种浏览器差异性的XSS，除了与浏览器的urlencode策略差异有关，还与服务端代码的实现有关，这类安全风险不仅是PHP的特例，其他服务端语言环境也可能出现这类问题。

漏洞分析

参考分析：http://evilcos.me/blog/a/xss-of-browsers-differences-1/，简单的测试poc如下：

分析地址：http://www.0x37.com:8989/test.php?c=’”`<>!@$%^*(){}[]:;.,?~
 
发送请求时，抓包发现，浏览器们的urlencode默认行为： (..更多内容)

浏览器特性导致，firefox与chrome是默认这样的。IE8默认不会。其他的不关心不测试。

浏览器在用户登录时，会提示用户是否记住密码：
1、对于firefox，用户有三个选择：记住、不记录本站、暂不。
2、对于chorme，用户只有在输入正确密码登录成功后，才会出现提示：“想让谷歌浏览器保存您的密码吗？”，用户有两个选择：保存密码、此站一律不保存密码。
3、而当在“自动完成”设置里开启IE8的“表单上的用户名和密码”功能时，IE8会在用户登录时弹窗提醒是否记住。

(..更多内容)

我在hongkong Information Security Showcase 2010上演讲的paper：《邪恶的SNS攻击与防御》，已经可以下载了：

http://www.hkitssm.org/presentation/K5%20-%20Evil%20SNS%20Attack%20and%20Defence.pdf

这个会议不是个技术型的会议，让我觉得非常没意思。入乡随俗吧。这篇paper没啥技术含量，不过还是有些有趣的地方，自己看了:)，感谢与我交流的朋友们。

人人网(renren.com)是中国最大、最具影响力的SNS网站。wap平台（3g.renren.com）由于身份认证缺陷导致攻击者可以轻易获取被攻击者的身份认证token，而获取被攻击者的权限。

漏洞分析

3g.renren.com的认证方式是采用url authentication token进行，攻击者可以使用几种途径获取到authentication token。人人网估计也考虑到了该问题，在许多用户输入/输出做了严格的过滤，不过还是有好几种方式可以bypass人人的过滤系统。

(..更多内容)

discover是iphone/ipod touch平台上流行的文件管理器，可以阅读pdf/office/txt等格式的文件，并通过wifi分享这些文件，详细的介绍看这：http://itunes.apple.com/us/app/discover/id292416855?mt=8#。

漏洞分析

当wifi环境下的iphone/ipod touch用户打开discover时，会自动开启远程web访问，web界面是flash制作的文件管理界面（如下图），discover有两种目录：Private与Public，在“设置”-->“文件安全设置”中可以设置web访问密码（认证类型为HTTP Digest），不过仅保护Private目录。

(..更多内容)

我曾在这里提过“一种新颖的攻击模式”，一忙又过了快两个月了，现在将这种钓鱼模式公开。一年前的“谷歌开发者日2009”后，google采用google docs spreadsheets的形式发送一份关于google wave的调查，我估计着当时很多人都关注这个大会，并且很多IT人士关注着wave，于是思考着如何黑了一些人:)

我的目的就是得到gmail密码，毫不隐晦，就看你给不给。

准备工作

注册一个gmail账号，专门用于钓鱼，账号名：gwavegroups@gmail.com。

开始制作一个与google官方发送的“google wave”调查非常相似的spreadsheets（其实就是一种form表单），全英文，看截图：

(..更多内容)