老树开花一个js函数引发的命案

很多网站系统把一些功能放在客服端执行（javascript）,而服务端没有相应的验证,从而被非法利用。本文就是一个js函数使用不当,导致网站以及整个服务器沦陷的案例。

前端漏洞挖掘

最新安全测试一个站旁注扫出一个www.xxx.com/Utility/UploadFile/FileList.asp

图一

图片1.png

这个编辑器功能很强大,看能不能找到点其他可以利用的地方,习惯性的查看源码。看到一段Javascript,目测有猫腻。

tronMouseOver=menumouseover(this)onMouseOut=menumouseout(this)
tdinputname=selFoldertype=checkboxid=selFolder
value=D:\website9\www.xxx.com\UpFile\1
ahref=javascript:transferFolder(/UpFile/1);
imgsrc=dir.gifwidth=17height=14border=0
align=absmiddle1/a

这个是点击图一中的文件夹的js源码，爆出绝对路径,可能有用,然后又看到一个强大的j函数transferFolder()，经过测试这个函数是点击击编辑器中的文件夹js是向服务端发送需要浏览文件夹,然后asp服务器返回传回文件夹的文件列表，以浏览文件。

//改变当前文件夹
functiontransferFolder(f)
{
document.formList.fder.value=f
document.formList.submit();
}

看transferFolder函数源码,每个载入浏览器的HTML文档都会成为Document对象,使我们可以从脚本中对HTML页面中的所有元素进行访问。把传入的文件夹赋值给Document.formList用来操作formList表单,formList和fder为何物？

formmargin-bottom:0;overflow:auto;name=formListmethod=postaction=
inputname=rootFdertype=hiddenid=rootFdervalue=/UpFile
inputname=fdertype=hiddenid=fdervalue=/UpFile

还是目测fromList是浏览文件的表单fder则是需要浏览的文件夹,由transferFolder函数赋值,测试下这个函数是否可以传入任意浏览服务端文件夹,由于需要经常改代码,换了个opera浏览器,原来的transferFolder参数如下。

transferFolder(/UpFile/1);

传入transferFolder(‘/Utility/UploadFile’);(这个目录绝对存在)，猛烈的点击…..悲剧了！！什么都没有,欲罢而不能,继续目测之.inputname=rootFdertype=hiddenid=rootFdervalue=/UpFileinputname=fdertype=hiddenid=fdervalue=/UpFilerootFder是根目录,而fder是当前目录,这里需要人工修改,遂把/UpFile改为/Utility

图片2.png