客服QQ:872490018

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链

余弦@慢雾安全团队

 

引子

慢雾区前后两位白帽黑客给我们反馈了这个 XSS 0day,第一位反馈的很早,但他自己把这个漏洞危害等级定义为低危,我们服务的交易所平台修复后,我们也没特别在意,直到第二位给我们再次提及这个 XSS。


昨天,我们开始对我们服务的所有客户下发这个预警,内容:

#0day 漏洞预警#


根据慢雾区匿名情报,通用 K 线展示 JS 库 TradingView 存在 XSS 0day 漏洞,可绕过 Cloudflare 等防御机制。该漏洞被利用会导致用户帐号权限被盗、恶意操作等造成资产损失。请确认是否使用到该组件,如有使用到请与我们联系。

当确定我们的客户修复后,我们开始对外发声,但隐去了存在漏洞的具体组件:TradingView。今天我们发现漏洞细节已经开始失控,特出此文,针对这个漏洞做个剖析。


防御方案

我们先给出当时我们同步给我们客户的临时快速解决方案:

TradingView 库 bundles ⽬目录下有个 library 开头的 js ⽂文件,检查这个⽂文件是否存在漏漏洞洞代码: getScript(urlParams.indicatorsFile)

如果存在,临时解决⽅方案可以把代码改为:getScript(""),如有问题和我们反馈。


聪明的前端黑只要看了防御⽅案就会知道怎么去构造这个利用。

漏洞细节

TradingView 是做 K 线展示最流行的 JS 库,在数字货币交易所、股票交易所等都有大量使用,所以影响目标很好找到。有个测试目标后,我们直接来看触发链接,随便找两个:

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链


通过分析,触发最小简化的链接是:


⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链


必须存在三个参数:

disabledFeatures 
enabledFeatures 
indicatorsFile

indicatorsFile 很好理解,而且利用逻辑非常简单,代码所在位置:TradingView 库 bundles 目录下有个 library 开头的 js 文件,触发点如下:

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链

$.getScript 非常的熟悉了,在 jQuery 时代就已经实战了多次,这个函数核心代码是:

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链

看代码,可以动态创建一个 script 标签对象,远程加载我们提供的 js 文件:

https://xssor.io/s/x.js

那么,另外两个参数(disabledFeatures 与 enabledFeatures)为什么是必要的?继续看代码(同样是 library 开头的那个 js 文件):

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链

这段代码在触发点之前,如果没有提供合法的 disabledFeatures 及 enabledFeatures 参数格式,这段代码就会因为报错而没法继续。很容易知道,合法参数格式只要满足这两个参数是 JSON 格式即可。所以,最终利用链接是:

⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链

漏洞威力

TradingView 是做 K 线展示最流行的 JS 库,在数字货币交易所、股票交易所等都有大量使用,所以影响目标很好找到。有个测试目标后,我们直接来看触发链接,随便找两个:


为什么我们会说这个 XSS 可以绕过 Cloudflare 等防御机制?这个“等”其实还包括了浏览器内置的 XSS 防御机制。原因很简单,因为这是一个 DOM XSS,DOM XSS 的优点是不需要经过服务端,不用面对服务端的防御机制,同时不会在服务端留下日志(除非自己特别去处理)。也正是因为这是 DOM XSS 且非常简单的触发方式,浏览器端的 XSS 防御机制也没触发。


然后这个 XSS 的触发域和目标重要业务所在的域几乎没有做什么分离操作,利用代码其实非常好写,比如直接基于 $ 里的一堆方法就可以轻易获取目标平台的目标用户隐私,甚至偷偷发起一些高级操作。


有经验的攻击者,是知道如何大批量找到目标的,然后写出漂亮的利用代码。这里就不展开了。

最后做个补充:


前端黑里,需要特别去做好的安全有:XSS、CSRF、CORS、Cookie 安全、HTTP 响应头安全、第三方 js 安全、第三方 JSON 安全、HTTPS/HSTS 安全、本地储存安全等。可以查看这篇近一步了解:

杂谈区块链生态里的前端黑:
https://mp.weixin.qq.com/s/d_4gUc3Ay_He4fintNXw6Q



⼀个通杀绝⼤多数交易平台的 XSS 0day 漏洞-碳链


慢雾媒体平台


Telegram

https://t.me/slowmistteam


Twitter

https://twitter.com/@slowmist_team


Medium

https://medium.com/@slowmist


币乎

https://bihu.com/people/586104


知识星球

https://t.zsxq.com/Q3zNvvF

*文章为作者独立观点,不代表碳链立场
本文由 慢雾科技 授权 碳链 发表,并经碳链编辑。转载此文章须经作者同意,并请附上出处(碳链)及本页链接。原文链接http://www.itanlian.com/chainnews/3123.html
发表评论
坐等沙发
相关文章
CertiK陈波锦:区块链行业正经历幻灭低谷期“阵痛” | FBEC 2019专访
CertiK陈波锦:区块链行业正经历幻灭低…
战争已成为比特币的春药,追涨千万注意策略
战争已成为比特币的春药,追涨千万注意…
专访蚂蚁矿池田鑫:挖矿可能是区块链仅存实体落地途径之一
专访蚂蚁矿池田鑫:挖矿可能是区块链仅…
支付宝重申禁购比特币之后…
支付宝重申禁购比特币之后…
陀螺问答TOP 10 周榜单(10.8-10.13):比特币会加剧全球财富分配不均吗?
陀螺问答TOP 10 周榜单(10.8-10.13):…
监管决定币价?不,是币价决定监管
监管决定币价?不,是币价决定监管
慢雾科技
SlowMist-Team 作者
我还没有学会写个人说明!
  • 文章

    92

  • 评论

    0

广告赞助

复制代码