某里巴巴存在任意URL跳转漏洞（提交被驳回故公开）技术交流
某天看到一篇文章，pdf支持JavaScript脚本灵光一闪，如果把xss代码加到pdf文件中会怎么样
经过测试，构造了一些可行的poc文档，眼看双十一快到了，顺便测试下某里巴巴
经测试：某里巴巴SRC上传图片处可以pdf文件
获取到pdf文件链接
https://security.alibaba.com/api/commons/download/TB1HuUWXyzxK1RjSspjXXcS.pXa.tfsprivate
里面有我的poc代码，在谷歌浏览器或者谷歌内核的浏览器下打开，就会跳转到第三方网站（下个迅捷pdf编辑器，poc自己找）
ASRC任意URL跳转有了尝试XSS，在某宝论坛，发帖，源码模式下插入poc
POC:
<embed src="https://security.alibaba.com/api/commons/download/TB1HuUWXyzxK1RjSspjXXcS.pXa.tfsprivate">地址：https://maijia.bbs.taobao.com/detail.html?postId=8969034
纯文本模式给钉钉邮箱，阿里企业邮箱发送包含POC的内容，用户在谷歌内核浏览器下打开就会触发URL跳转
如果跳转的网站是个钓鱼网站，那岂不是危害很大，或者说，淘宝论坛流量那么大，劫持一篇热帖岂不是可以做广告？
赶紧提交给ASRC，经过漫长的等待，得到消息，厂商已驳回
截图下沟通记录
原本还打算30天后在公开的，发现后面提交的相关漏洞都被忽略了，很明显ASRC平台不认为这是漏洞，不打算修复，既然如此，公开姿势给大家吧
修复方案：
而作为网站管理员或开发者，可以选择强迫浏览器下载 PDF 文件，而不是提供在线浏览等，或修改 Web 服务器配置的 header 和相关属性。
统一回复下，该问题已经提交到谷歌安全中心。另外，我为什么要追着阿里修复，不是为了那几块钱的赏金，而是为了广大的阿里用户，我不希望某天我身边的朋友或者不认识的朋友被钓鱼，被骗的倾家荡产！人生失去希望，（以前身边有过一位这朋友，支付宝被盗...然后...吃了一个月馒头？）谷歌什么时候修复是谷歌的事情，迭代下去搞到明年修复，大后年修复都是有可能的，况且版本这么多，不更新版本的人更多。
阿里修改下配置文件就能避免被钓鱼，说这么多有点肉麻了，还是那句话，希望各大厂商能为自己用户的安全负责。想想自己为什么要提交漏洞，不忘初心，方得始终。
发布下最新情况，ASRC以及确认了漏洞，状态修复中，有朋友反映淘宝论坛的漏洞已经修复，如果大家又发现利用该漏洞钓鱼的，请及时提交情报到ASRC应急响应中心！阿里将会有相应的奖励！
关于作者
评论145次
发布下最新情况，ASRC以及确认了漏洞，状态修复中，xi望早日修复，如果大家又发现利用该漏洞钓鱼的，请及时提交情报到ASRC应急响应中心！阿里将会有相应的奖励！麻烦管理员提升下回复到前排，谢谢。
不管是不是阿里 这些大公司都一样谁开发的代码谁负责 谁改的代码谁负责应急响应慢1秒扣1000员工是不会在乎公司以及客户利益的漏洞挖过份进监狱 漏洞挖小当没看见 如果当作是兴趣不是工作的话 最好别发出来众人皆知 在中国和公司对抗很不明智存在即合理，这种类型的漏洞公司自查才能合理修补提交是没用的要么就滚雪球打组合拳，不然不会得到重视的要么学会保护自己要么一刀致命不留后患，证明自己不是靠别人的眼光决定自己创造的价值
厂商也不知道在想啥最后还不是我们用户遭殃
厂商意思是, 牛逼你就干进来
楼主讲解下原理啊
不知道为啥，我上传的一个网站没有触发XSS，谷歌浏览器，在线预览pdf，自己构造了pdf，也试了楼主博客的那个pdf，没有触发
使用稳定版谷歌浏览器
学xi了，但是对于跳转的TB1HuUWXyzxK1RjSspjXXcS.pXa.tfsprivate想知道是怎么构造的
这个链接实际就是PDF文件的URL链接
跳转的url是我博客，你翻一下历史文章，里面有我的构造poc的方法
那个pdf 的js语句已经看过了，又get新技能，poc构造我需要在看一下你的博客学xi一下
学xi了，今天刚好碰到URL跳转的。
不知道为啥，我上传的一个网站没有触发XSS，谷歌浏览器，在线预览pdf，自己构造了pdf，也试了楼主博客的那个pdf，没有触发
确实应该归属于使用chrome内核的浏览器问题，不过阿里src这种做法也是不够负责任的，总归要从用户的安全角度出发
正常流程不行野路子来一段就修了呀
这个思路确实学到了，尝试看看还有什么其他的用处
233333， 这些src什么尿性还不清楚？ 说到之前，阿里双11挖洞活动， 有个阿里，蚂蚁，菜鸟，三个严重，高危，之类的守护者计划。 表示活动结束之前15天左右，有2个已经确认的高危漏洞， 后来剩下1星期忽略了一个，然后最后2天，把最后一个高危忽略， 然后就省了1w块钱。 也是服气， 经费怕是不够了把，反正降级就对了。。 23333
直接提交google就好了
厂商的回复，看起来有点不太想负责的样子
姿势学xi了。这个问题处理方式感觉像是踢皮球
修复了 哥们 禁止了<>符号
所以嘛，照流程来走，不知道要多久 提交-----审核-------修复 提交到审核这段时间，短则三五天，长则个把月，审核通过之后，修复的时间更加不知道要多久了，遇到过修复了一年才修复好的，你看这一公开，立马修复了，不过，能按照流程来的，就走流程，我这是流程中断了，属于特殊情况，大家还是走常规路线提交漏洞，不要学我，影响有点坏
修复了 哥们 禁止了<>符号
跟前几天virtualbox那个漏洞一样，作者直接在github上公开了
发布下最新情况，ASRC以及确认了漏洞，状态修复中，xi望早日修复，如果大家又发现利用该漏洞钓鱼的，请及时提交情报到ASRC应急响应中心！阿里将会有相应的奖励！麻烦管理员提升下回复到前排，谢谢。
LZ消消气。一个漏洞驳回，对于经常提交漏洞的人来说很正常的，某小伙伴提交某天，连续十页的辣鸡漏洞驳回，驳回理由都是已重复，那没办法生活还得过，虽然钱不多，但是还是得赚不是么？某小伙伴阿里连续多个漏洞被驳回，都是赤裸裸的危害明显的漏洞。但是有啥办法捏。不还是那句话，日子要过咩。 就算厂商给你过了，一个低危，你心里会舒服点额？ 年轻人眼光放长远，看开点。
这思路跟word文档可在线预览一样，利用宏执行命令
厂商忙着处理退款崩溃的问题，这个可以当为博客增长访问量吧。嚯嚯
楼主还活着嘛？我觉得虽然他们不认为这个是漏洞，你这样公开，估计是作死
不公开，不修复，广大淘宝用户受到威胁，所以我公开了，迫使修复漏洞，大义凛然.jpg