jiathis分享插件存在XSS安全问题来自#补天漏洞平台#
补天最近接到有白帽子反馈jiathis的分享插件存在一个xss的安全问题,且多数网站是直接调用http://www.jiathis.com 的分享插件代码
最后会加载引用http://www.jiathis.com/code/swf/m.swf文件导致使用的网站存在相应的安全问题
经过搜索发现存在37893个网站使用了该分享插件
存在问题的代码如下:
ExternalInterface.addCallback("writeSharedObject",this.writeSharedObject);
攻击者能利用这一弱性,构造好一个特殊页面给受害者,受害者浏览过后,会设置一个SharedObject数据存储在用户的本地硬盘上,功能类似浏览器的cookie[生病]
所以当用户以后再次浏览到加载了jiathis分享插件的网站时,JavaScript代码就被执行了[霹雳]
[奥特曼]提醒浏览的用户防范如下[奥特曼]:
flash全局设置-站点的本地存储设置-添加www.jiathis.com 选择:阻止 添加
附上测试方式
1、首先访问:http://xsst.sinaapp.com/poc/flash/jiathis.htm
2、再访问存在jiathis代码的网站。
【测试方法来自PKAV团队gainover】
网络尖刀小编友情提醒
该XSS漏洞不只影响到Jiathis,同理该XSS漏洞也影响 友言、友荐,希望大家做好代码替换工作,避免遭受损失。
关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/
关注网络尖刀微信公众号
随时掌握互联网精彩
随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 总书记要求用好这把“戒尺” 4991003
- 2 以色列对伊朗发动导弹袭击 4979869
- 3 广州天河驾车撞人案罪犯被执行死刑 4820107
- 4 从消博会看消费新趋势 4744395
- 5 抗战烈士墓发现年轻女子照片 4601882
- 6 学生偷外卖被毒死?学校回应 4501604
- 7 以色列称提前通知美国将实施报复 4457699
- 8 特斯拉前员工:入职7天被裁 4370777
- 9 养老保险断缴即清零?不实 4251257
- 10 北京一皇家级四合院4.5亿元起拍 4119665