Mi1k7ea

SWFUpload.swf的Flash型XSS分析

阅读量

0x01 SWFUpload简介

SWFUpload是一个客户端文件上传工具,最初由Vinterwebb.se开发,它通过整合Flash与JavaScript技术为Web开发者提供了一个具有丰富功能继而超越传统标签的文件上传模式。

SWFUpload是在国内网站中使用得比较普遍的Flash插件。

0x02 Flash XSS

当SWFUpload的版本<= 时,会存在Flash XSS漏洞。

漏洞版本下载地址:https://github.com/JoyChou93/FlashXss/tree/master/swfupload

将文件下载下来后,反编译得到as源代码,可以看到脚本是有三个,这里先关注SWFUpload的代码:

SWFUpload的代码量略大,这里直接搜索外部参数输入的关键字,找到对应的代码:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
public function SWFUpload()
{
...
this.movieName = root.loaderInfo.parameters.movieName;
this.flashReady_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].flashReady";
this.fileDialogStart_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].fileDialogStart";
this.fileQueued_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].fileQueued";
this.fileQueueError_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].fileQueueError";
this.fileDialogComplete_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].fileDialogComplete";
this.uploadStart_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].uploadStart";
this.uploadProgress_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].uploadProgress";
this.uploadError_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].uploadError";
this.uploadSuccess_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].uploadSuccess";
this.uploadComplete_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].uploadComplete";
this.debug_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].debug";
this.testExternalInterface_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].testExternalInterface";
this.cleanUp_Callback = "SWFUpload.instances[\"" + this.movieName + "\"].cleanUp";
this.uploadURL = root.loaderInfo.parameters.uploadURL;
this.filePostName = root.loaderInfo.parameters.filePostName;
this.fileTypes = root.loaderInfo.parameters.fileTypes;
this.fileTypesDescription = root.loaderInfo.parameters.fileTypesDescription + " (" + this.fileTypes + ")";
this.loadPostParams(root.loaderInfo.parameters.params);

这里看到好几个变量都是外界可控的,有一个很特别,就是movieName变量,它会被拼接到很多名为xx_Callback的变量值中。我们就跟踪下第一个名为flashReady_Callback变量看看是不是可调用的:

1
2
3
4
5
if(ExternalCall.Bool(this.testExternalInterface_Callback))
{
ExternalCall.Simple(this.flashReady_Callback);
this.hasCalledFlashReady = true;
}

可以看到,在后面的代码中会作为ExternalCall.Simple()函数的唯一参数传入调用。

而ExternalCall.Simple()函数的定义是在另一个名为ExternalCall脚本中,我们到其中搜索看看:

bingo,是ExternalInterface.call()函数,且是第一个参数外部可控,妥妥的Flash XSS漏洞。

理下思路,存在AS3形式的loaderInfo.parameters来传入外部参数movieName,且存在ExternalInterface.call()函数的第一个参数外部可控,结合导致Flash XSS。

至于其他几个拼接的变量也是一样的分析。

这里结合ExternalInterface.call()函数的第一个参数的payload的形式,稍微修改下来闭合前面拼接的格式即可:

1
?movieName="])}catch(e){alert('mi1k7ea')};//

接着就是不停地弹框了:

在IE下调试,可以看到底层被恶意构造输入注入的执行的JS代码:

0x03 参考

Flash XSS检测脚本的简单实现


Copyright © Mi1k7ea | 本站总访问量