SHIFT:?个通杀绝大多数交易平台的 XSS 0day 漏洞_EES

文章来源:慢雾科技作者:慢雾安全团队

引子

慢雾区前后两位白帽黑客给我们反馈了这个XSS0day,第一位反馈的很早,但他自己把这个漏洞危害等级定义为低危,我们服务的交易所平台修复后,我们也没特别在意,直到第二位给我们再次提及这个XSS。

昨天,我们开始对我们服务的所有客户下发这个预警,内容:

0day漏洞预警

根据慢雾区匿名情报,通用K线展示JS库TradingView存在XSS0day漏洞,可绕过Cloudflare等防御机制。该漏洞被利用会导致用户帐号权限被盗、恶意操作等造成资产损失。请确认是否使用到该组件,如有使用到请与我们联系。

当确定我们的客户修复后,我们开始对外发声,但隐去了存在漏洞的具体组件:TradingView。今天我们发现漏洞细节已经开始失控,特出此文,针对这个漏洞做个剖析。

Bitfinex和Tether表示在市场动荡期间他们没有裁员计划:6月21日消息,加密公司Bitfinex和Tether表示,在当前的市场低迷时期,Bitfinex和Tether没有裁员计划,都希望雇佣更多的员工。Bitfinex首席运营官Claudia Lagorio表示,Bitfinex将继续以有条不紊的方式投资于人才和资源的获取。我们希望填补一系列职业机会,并且我们的招聘计划保持不变。Tether也在寻求增加员工。Lagorio表示,目前Bitfinex和Tether的员工总人数为250人。Tether发言人透露,其中有50人在Tether工作。(The Block)[2022/6/21 4:41:19]

防御方案

我们先给出当时我们同步给我们客户的临时快速解决方案:

24小时合约市场爆仓超9.05亿美元 BTC合约爆仓3.6亿美元:据合约帝行情统计报告显示:过去24小时合约市场全网总计爆仓9.05亿美元,爆仓人数158557人。其中,Huobi爆仓3.11亿美元,OKEx爆仓1.59亿美元,BitMEX爆仓6933万美元,Binance爆仓1.04亿美元,Bybit爆仓2.6亿美元。爆仓金额前三的币种是BTC3.6亿美元,ETH2.63亿美元,XRP6603万美元。[2021/5/24 22:39:04]

TradingView库bundles?目录下有个library开头的js?文件,检查这个?文件是否存在漏漏洞洞代码:getScript(urlParams.indicatorsFile)

如果存在,临时解决?方案可以把代码改为:getScript(""),如有问题和我们反馈。

最近1小时合约市场爆仓超7213万美元 BTC爆仓超5629万美元:据合约帝行情统计报告显示:最近1小时合约市场全网总计爆仓7213万美元。其中爆仓量排名前三的币种是BTC5629万美元,EOS576万美元,ETH540万美元。[2020/3/28]

聪明的前端黑只要看了防御?案就会知道怎么去构造这个利用。

漏洞细节

TradingView是做K线展示最流行的JS库,在数字货币交易所、股票交易所等都有大量使用,所以影响目标很好找到。有个测试目标后,我们直接来看触发链接,随便找两个:

通过分析,触发最小简化的链接是:

必须存在三个参数:

disabledFeaturesenabledFeaturesindicatorsFile

动态 | 24小时合约市场爆仓超1.26亿美元 BTC合约爆仓9251万美元:据合约帝行情统计报告显示:过去24小时合约市场全网总计爆仓1.26亿美元,爆仓人数5673人。其中Huobi 爆仓2476万美元,OKEx爆仓2830万美元,Binance爆仓3750万美元,BitMEX爆仓3635万美元。爆仓金额前三的币种是BTC9251万美元,EOS858万美元,ETH738万美元。[2020/2/24]

indicatorsFile很好理解,而且利用逻辑非常简单,代码所在位置:TradingView库bundles目录下有个library开头的js文件,触发点如下:

$.getScript非常的熟悉了,在jQuery时代就已经实战了多次,这个函数核心代码是:

看代码,可以动态创建一个script标签对象,远程加载我们提供的js文件:

https://xssor.io/s/x.js

那么,另外两个参数为什么是必要的?继续看代码:

这段代码在触发点之前,如果没有提供合法的disabledFeatures及enabledFeatures参数格式,这段代码就会因为报错而没法继续。很容易知道,合法参数格式只要满足这两个参数是JSON格式即可。所以,最终利用链接是:

漏洞威力

TradingView是做K线展示最流行的JS库,在数字货币交易所、股票交易所等都有大量使用,所以影响目标很好找到。有个测试目标后,我们直接来看触发链接,随便找两个:

为什么我们会说这个XSS可以绕过Cloudflare等防御机制?这个「等」其实还包括了浏览器内置的XSS防御机制。原因很简单,因为这是一个DOMXSS,DOMXSS的优点是不需要经过服务端,不用面对服务端的防御机制,同时不会在服务端留下日志。也正是因为这是DOMXSS且非常简单的触发方式,浏览器端的XSS防御机制也没触发。

然后这个XSS的触发域和目标重要业务所在的域几乎没有做什么分离操作,利用代码其实非常好写,比如直接基于$里的一堆方法就可以轻易获取目标平台的目标用户隐私,甚至偷偷发起一些高级操作。

有经验的攻击者,是知道如何大批量找到目标的,然后写出漂亮的利用代码。这里就不展开了。

最后做个补充:

前端黑里,需要特别去做好的安全有:XSS、CSRF、CORS、Cookie安全、HTTP响应头安全、第三方js安全、第三方JSON安全、HTTPS/HSTS安全、本地储存安全等。可以查看这篇近一步了解:

杂谈区块链生态里的前端黑:https://mp.weixin.qq.com/s/d_4gUc3Ay_He4fintNXw6Q

来源链接:mp.weixin.qq.com

本文来源于非小号媒体平台:

慢雾科技

现已在非小号资讯平台发布1篇作品,

非小号开放平台欢迎币圈作者入驻

入驻指南:

/apply_guide/

本文网址:

/news/3627037.html

漏洞风险安全

免责声明:

1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险

2.本文版权归属原作所有,仅代表作者本人观点,不代表非小号的观点或立场

下一篇:

区块链照妖镜上线,你的对面是好是坏我一看就知道

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

大币网

[0:0ms0-2:453ms