详细说明:
好像跟一个allyes.com的swf有关.
因为taobao.com所有的crossdomain.xml都允许allyes.com跨域
例如http://user.taobao.com/crossdomain.xml
但是在*.allyes.com众多二级域名中,随便入侵到一个,还是不难的.
那么假设在任何一个*.taobao.com中,找到一个phpinfo.
再在*.allyes.com里,控制一个swf文件.
那么.拿cookies.也是轻松的.
另外.httponly是无法阻挡这个操作的.
另外.taobao的验证机制,太过脆弱.cookies保存下来,只要随时在服务器上取一个新的cookies14的值,就可以用之前保存的cookies登陆.
漏洞证明:
前几天在逛无线网卡时候.看到两次.
但是没有记住地址.
但是头部的横幅flash下载下来后,反编译,看到了恶意代码.
虽然没有证据.但是的确是亲眼所见.
入侵者很可能利用了该漏洞在进行刷淘宝客的操作(抓包简单看了下内容.)
如需进一步争取,我可以试着提供.联系email: listshadow@163.com
修复方案:建议crossdomain.xml严格控制.
控制swf脚本执行.