搜索

[10820] 2016-12-12_雅虎邮箱存储型XSS漏洞，黑客能看任何人的邮件

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2016-12-12_雅虎邮箱存储型XSS漏洞，黑客能看任何人的邮件 雅 虎 邮 箱 存 储 型 X S S 漏 洞 ， 黑 客 能 看 任 何 人 的 邮 件 S p h i n x   F r e e B u f   2 0 1 6 - 1 2 - 1 2 最 近 来 自 芬 兰 最 近 来 自 芬 兰 K l i k k i   O y 的 研 究 员 的 研 究 员 J o u k o   P y n n ö n e n 发 表 了 一 篇 博 客 ， 其 中 演 示 了 恶 意 攻 击 者 如 何 利 用 发 表 了 一 篇 博 客 ， 其 中 演 示 了 恶 意 攻 击 者 如 何 利 用 X S S 漏 洞 攻 下 雅 虎 邮 箱 ， 漏 洞 攻 下 雅 虎 邮 箱 ， 将 受 害 者 收 件 箱 中 的 邮 件 发 到 外 部 站 点 ； 以 及 构 建 病 毒 ， 这 个 病 毒 可 以 通 过 向 邮 件 签 名 中 添 加 恶 意 脚 本 ， 附 加 在 所 有 传 出 将 受 害 者 收 件 箱 中 的 邮 件 发 到 外 部 站 点 ； 以 及 构 建 病 毒 ， 这 个 病 毒 可 以 通 过 向 邮 件 签 名 中 添 加 恶 意 脚 本 ， 附 加 在 所 有 传 出 的 电 子 邮 件 中 。 的 电 子 邮 件 中 。 由 于 恶 意 代 码 就 位 于 邮 件 消 息 的 正 文 中 ， 代 码 会 在 受 害 者 打 开 邮 件 时 立 即 执 行 ， 不 需 要 其 他 交 互 过 程 。 所 有 问 题 的 症 结 实 由 于 恶 意 代 码 就 位 于 邮 件 消 息 的 正 文 中 ， 代 码 会 在 受 害 者 打 开 邮 件 时 立 即 执 行 ， 不 需 要 其 他 交 互 过 程 。 所 有 问 题 的 症 结 实 际 上 在 于 雅 虎 邮 箱 无 法 正 确 过 滤 际 上 在 于 雅 虎 邮 箱 无 法 正 确 过 滤 H T M L 邮 件 中 潜 在 的 恶 意 代 码 。 邮 件 中 潜 在 的 恶 意 代 码 。 以 下 是 对 这 名 研 究 人 员 博 客 文 章 的 内 容 编 译 ： 发 现 历 程 发 现 历 程 离 去 年 给 雅 虎 挖 洞 也 快 一 周 年 了 ， 这 个 时 间 点 我 也 打 算 再 来 一 发 。 一 开 始 我 觉 得 基 本 的 H T M L 过 滤 应 该 不 会 再 有 漏 洞 了 ， 但 在 最 近 写 邮 件 的 时 候 ， 我 发 现 了 很 多 添 加 附 件 的 选 项 ， 这 些 选 项 我 去 年 倒 是 没 有 太 注 意 。 然 后 我 写 了 一 封 邮 件 ， 里 面 包 含 各 种 附 件 ， 并 发 到 某 外 部 邮 箱 ， 这 样 我 就 可 以 检 查 邮 件 的 H T M L 源 码 了 。 雅 虎 邮 箱 提 供 了 一 项 功 能 ， 可 以 从 云 服 务 中 分 享 文 件 。 在 邮 件 中 进 行 分 享 之 后 ， 文 件 不 会 附 在 邮 件 的 附 件 中 ， 而 是 会 使 用 H T M L 代 码 插 入 一 个 链 接 ， 比 如 G o o g l e 文 档 / D r o p b o x 的 链 接 。 在 此 ， d a t a - *   H T M L 属 性 吸 引 了 我 的 注 意 。 首 先 是 因 为 我 去 年 穷 举 了 一 些 雅 虎 邮 箱 过 滤 所 允 许 的 H T M L 属 性 ， 但 是 没 有 能 够 穷 举 出 全 部 属 性 。 第 二 ， 由 于 d a t a - * 属 性 存 储 的 为 J a v a s c r i p t 所 用 的 特 定 应 用 数 据 ， 所 以 这 可 能 是 个 不 错 的 攻 击 切 入 点 。 也 就 是 说 ， 可 以 在 邮 件 中 嵌 入 一 些 H T M L 属 性 绕 过 雅 虎 邮 箱 的 过 滤 。 为 了 进 一 步 了 解 d a t a - * 属 性 ， 我 使 用 C h r o m e 的 开 发 者 工 具 进 入 源 码 标 签 ， 寻 找 J a v a S c r i p t 文 件 中 引 用 的 d a t a - u r l 属 性 。
我 发 现 Y o u T u b e 的 链 接 也 会 被 雅 虎 邮 箱 “ 优 化 ” ， 如 果 你 在 邮 件 中 输 入 Y o u t u b e 的 视 频 链 接 ， 雅 虎 邮 箱 就 会 自 动 帮 你 生 成 一 个 “ 链 接 加 强 卡 片 ” ， 如 下 图 所 示 ， 卡 片 中 会 包 含 一 些 d a t a - * 属 性 。 当 用 户 打 开 包 含 这 类 “ 卡 片 ” 的 邮 件 ， 雅 虎 就 会 通 过 < I F R A M E > 嵌 入 视 频 ， 视 频 旁 边 还 会 有 一 个 分 享 按 钮 ， 这 些 功 能 就 是 通 过 雅 虎 邮 箱 J S 代 码 的 d a t a - * 属 性 实 现 的 。 接 下 来 ， 我 尝 试 用 d a t a - * 属 性 构 造 邮 件 ， 漏 洞 有 了 ！ 如 果 我 们 在 d a t a - u r l 这 个 值 中 插 入 引 号 ， 就 会 导 致 分 享 按 钮 的 H T M L 无 法 正 确 解 析 。 而 只 要 U R L 指 向 的 网 站 在 雅 虎 的 白 名 单 中 ， 比 如 指 向 Y o u t u b e ， 雅 虎 就 不 会 再 进 行 检 查 或 者 编 码 。 d a t a - u r l 的 值 会 被 用 来 设 置 i n n e r H T M L   d i v 创 建 按 钮 ： 我 进 行 的 测 试 如 下 ： 当 我 从 雅 虎 邮 箱 打 开 邮 件 时 ， 那 段 针 对 链 接 进 行 “ 优 化 ” 的 J a v a S c r i p t 代 码 会 使 用 d a t a - u r l 属 性 来 渲 染 按 钮 。 而 隐 藏 在 属 性 中 的 H T M L 片 段 也 会 随 之 加 载 ， 我 所 添 加 的 H T M L 代 码 是 一 个 包 含 o n e r r o r 属 性 的 < I M G > ， 攻 击 者 的 恶 意 代 码 也 就 得 以 执 行 。 F r o m :   < a t t a c k e r @ a t t a c k e r . c o m > S u b j e c t :   h e l l o T o :   v i c t i m @ y a h o o . c o m M I M E - V e r s i o n :   1 . 0 C o n t e n t - t y p e :   t e x t / h t m l < d i v   c l a s s = " y a h o o - l i n k - e n h a n c r - c a r d "   d a t a - u r l = " h t t p s : / / w w w . y o u t u b e . c o m / a a a & q u o t ; & g t ; & l t ; i m g   s r c = x   o n e r r o r = a l e r t ( / x s s / ) & g t ; & l t ; " > < d i v   c l a s s = " c a r d - s h a r e - c o n t a i n e r " > < a   c l a s s = " e n h a n c r - p l a y - b t n " > < / a > < / d i v > < / d i v >
实 际 上 ， 这 个 问 题 的 症 结 可 以 追 溯 到 雅 虎 邮 箱 的 一 个 函 数 ： 这 个 函 数 名 称 为 t . s h a r e M e n u . g e n e r a t e B u t t o n ( r . c a r d U r l , s ) ， 第 一 个 参 数 就 是 邮 件 中 嵌 入 的 d a t a - u r l 属 性 。 可 以 看 到 ， 底 部 H T M L 的 部 分 就 是 直 接 把 字 符 串 拼 接 了 起 来 ， 没 有 做 任 何 修 改 。 影 响 影 响 此 次 发 现 的 这 个 漏 洞 的 影 响 跟 去 年 的 X S S 漏 洞 实 际 上 是 一 样 的 。 为 了 证 明 漏 洞 的 存 在 性 ， 我 给 雅 虎 安 全 部 门 发 了 一 封 邮 件 ， 邮 件 打 开 时 ， 会 使 用 A J A X 读 取 用 户 收 件 箱 中 的 邮 件 内 容 ， 并 把 它 发 送 到 攻 击 者 的 服 务 器 。 作 者 已 经 于 作 者 已 经 于 1 1 月 月 1 2 日 通 过 日 通 过 H a c k e r O n e 向 雅 虎 安 全 提 交 了 漏 洞 ， 向 雅 虎 安 全 提 交 了 漏 洞 ， 1 1 月 月 2 9 日 雅 虎 提 供 了 日 雅 虎 提 供 了 1 万 美 元 的 赏 金 。 万 美 元 的 赏 金 。 * 参 考 来 源 ： k l i k k i ， 本 文 作 者 ： S p h i n x ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . c o m ） f u n c t i o n   g e n e r a t e B u t t o n ( e , t )   {       v a r   n = t h i s , r ;       t . i n s e r t ( [ ' < b u t t o n   d a t a - s h a r e - u r l = " ' , e , ' "   c l a s s = " ' , o , ' " >                                         < s p a n   c l a s s = " i c o n   i c o n - s o c i a l " > < / s p a n >                                         < / b u t t o n > ' ] . j o i n ( " " ) ) ;       r = t . o n e ( " . " + o ) ;       n . _ a t t a c h B u t t o n L i s t e n e r s ( r ) ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理