Google Orkut - Stored XSS

[dekeeu]

Ast?zi serviciul Google Orkut a fost oficial închis ?i din acest motiv vreau s? public una din vulnerabilit??ile g?site e mine în acest site, fiind vorba despre un Stored XSS.

Ca un scurt rezumat, acel editor de texte avea func?ionalitatea de a ad?uga videoclipuri de pe YouTube. În momentul în care se insera link-ul video-ului , se f?cea un request JSON care returna anumite informa?ii despre video: autor,nume,durata etc care erau mai apoi ad?ugate direct în pagin?, ca ?i cod HTML.

Toate aceste informa?ii erau adaugate în atribute în cadrul unui tag iframe deci mai întai trebuia s? gasesc o posibilitate de a închide ghilimelele ?i apoi insera codul mali?ios. Cum YouTube nu te las? s? introduci în titlul videoclipului caractere gen <,> (dar ' ?i " sunt permise) nu puteam spera decât la un cod javascript inserat într-un event. Am încercat mai întai cu urm?torul titlu: text"onload="alert(1) dar am observat c? ghilimelele au fost înlocuite cu entit??i - so failed. Dar am zis s? încerc s? schimb " cu single-quotes(') care spre suprinderea mea au fost convertite in double-quotes(") ?i nu au mai fost encodate , deci am reu?it s? execut un alert() .

În situa?ia actual? xss-ul era destul de self, a?a c? m-am uitat dup? un loc în care atacatorul s? introduc? codul mali?ios în editor, care s? r?mân? acolo ?i s? poat? fi executat de c?tre al?i utilizatori. A?a c? dup? ceva c?ut?ri am aflat c? un utilizator poate crea o comunitate ?i în loc de descriere s? insereze un video care va avea ca titlu un cod javascript . În momentul în care comunitatea era transferat? c?tre un alt owner ?i noul proprietar voia s? editeze descrierea, codul mali?ios era executat.

Cam despre asta e vorba în video, mul?am c? a?i citit pân? aici, enjoy!

Edited October 1, 2014 by dekeeu