搜索

[2111] 2020-08-05_通过XSS窃取邮件对话&$1000

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2020-08-05_通过XSS窃取邮件对话&$1000 通 过 X S S 窃 取 邮 件 对 话 & $ 1 0 0 0 k m i n t h e i n   E D I 安 全   2 0 2 0 - 0 8 - 0 5 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 背 景 2 0 2 0 年 6 月 ， 我 发 现 了 一 个 存 储 的 X S S 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 窃 取 用 户 电 子 邮 件 对 话 ， m a i l . r u 和 m y M a i l   i O S 应 用 程 序 （ 版 本 1 2 . 2 . 1 ） 中 的 联 系 人 。 M a i l . r u 是 俄 罗 斯 最 大 的 组 织 之 一 ， 注 册 了 超 过 1 亿 个 活 动 帐 户 。 0 2 B u g 的 故 事 由 于 缺 少 S V G 图 像 文 件 中 的 验 证 ， 因 此 发 生 该 错 误 。 S V G   X S S 的 示 例 是 : < ？ x m l   v e r s i o n   = “   1 . 0 ”   s t a n d a l o n e   = “   n o ” ？ > < ！ D O C T Y P E   s v g   P U B L I C “ - / /   W 3 C   / /   D T D   S V G   1 . 1   / /   E N ” “   h t t p : / / w w w . w 3 . o r g / G r a p h i c s / S V G / 1 . 1 / D T D / s v g 1 1 . d t d ” > < s v g   v e r s i o n   = “   1 . 1 ”   b a s e P r o f i l e   = “   f u l l ”   x m l n s   = “   h t t p : / / w w w . w 3 . o r g / 2 0 0 0 / s v g ” > < p o l y g o n   i d   = “   t r i a n g l e ”   p o i n t s   = “   0 , 0   0 , 5 0   5 0 , 0 ”   f i l l   = “ ＃ 0 0 9 9 0 0 ”   s t r o k e   = “ ＃ 0 0 4 4 0 0 ”   / > < s c r i p t   t y p e   = “   t e x t   /   j a v a s c r i p t ” > a l e r t （ “   X S S ” ） ; < /   s c r i p t > < /   s v g > 当 用 户 在 S V G 文 件 上 方 查 看 时 ， 将 弹 出 X S S ， 如 下 所 示 。

0 3 寻 找 有 价 值 的 文 件 我 盯 着 讨 厌 的 报 告 ， 而 且 附 件 中 的 X S S 最 有 可 能 在 邮 件 应 用 程 序 中 失 效 。 因 此 ， 我 开 始 研 究 应 用 程 序 文 件 结 构 。 首 先 ， 我 只 是 考 虑 将 / e t c / p a s s w d 作 为 P o C   转 储 ， 但 在 i P h o n e 中 ， / e t c / p a s s w d 只 是 一 个 沙 盒 功 能 ， 因 此 我 必 须 检 索 一 些 东 西 。 幸 运 的 是 ， 我 已 经 越 狱 了 i P h o n e   5 ， 因 此 可 以 查 看 i P h o n e 中 的 每 个 文 件 和 文 件 夹 。 i O S 文 件 结 构 中 的 应 用 程 序 数 据 存 储 。 在 / p r i v a t e / v a r / m o b i l e / C o n t a i n e r s / S h a r e d / A p p G r o u p 其 后 ， 然 后 是 随 机 文 件 夹 ， 如 下 所 示 。 如 何 知 道 哪 个 文 件 夹 包 含 m a i l . r u 应 用 程 序 数 据 。 每 个 i P h o n e 的 文 件 夹 名 称 都 不 相 同 （ 文 件 夹 本 身 以 及 该 文 件 夹 中 的 某 些 文 件 将 保 持 不 变 ） ， 我 意 识 到 我 需 要 通 过 X S S 获 取 文 件 夹 路 径 。 因 此 ， 我 使 用 a l e r t ( l o c a t i o n . h r e f ) ; S V G 文 件 并 向 自 己 发 送 了 一 封 邮 件 ， 此 后 我 获 得 了 文 件 夹 位 置 。
然 后 ， 我 浏 览 到 该 文 件 夹 ， 看 到 了 几 个 S Q L i t e 数 据 库 文 件 和 一 些 文 件 夹 。 下 载 并 查 看 该 文 件 夹 中 的 每 个 文 件 后 ， 我 意 识 到 m a i l _ c a c h e . s q 3 文 件 包 含 电 子 邮 件 对 话 ， 联 系 人 ， 付 款 信 息 以 及 几 乎 所 有 内 容 。
电 子 邮 件 对 话 联 络 人 因 此 ， 我 选 择 将 此 S Q L i t e 数 据 库 检 索 到 我 的 服 务 器 。 如 果 我 可 以 获 得 此 数 据 库 ， 则 足 以 显 示 此 X S S 漏 洞 的 影 响 ， 并 且 我 可 以 通 过 一 个 不 错 的 P o C 向 m a i l . r u 报 告 。 我 开 始 编 写 P o C 脚 本 ， 在 i P h o n e （ 没 有 越 狱 ） 中 查 看 制 作 的 S V G 文 件 ， 是 的 ， 我 可 以 通 过 弹 出 文 件 内 容 来 验 证 文 件 是 否 存 在 。
0 4 解 决 错 误 并 编 写 可 行 的 P o C 因 此 ， 我 想 写 一 个 P o C 以 便 将 整 个 S Q L i t e 数 据 库 上 传 到 我 的 服 务 器 ， 但 是 我 遇 到 了 很 多 错 误 ， 并 且 只 有 一 小 部 分 文 件 发 送 到 我 的 服 务 器 。 在 修 复 了 4 个 小 时 以 上 的 错 误 之 后 ， 我 可 以 使 用 下 面 的 S V G 文 件 将 整 个 S Q L i t e 数 据 库 文 件 上 传 到 我 的 服 务 器 。
用 于 转 储 m a i l _ c a c h e . s q 3 的 P o C 脚 本 该 脚 本 首 先 读 取 m a i l . r u 文 件 夹 位 置 ， 读 取 m a i l _ c a c h e . s q 3 文 件 夹 ， 然 后 将 整 个 文 件 上 传 到 攻 击 者 控 制 的 服 务 器 。 然 后 ， 我 将 此 S V G 文 件 发 送 给 使 用 m a i l . r u 和 m y . c o m 应 用 程 序 的 用 户 。 如 果 用 户 查 看 了 攻 击 者 制 作 的 S V G 文 件 ， 则 其 S Q L i t e 数 据 库 （ 包 含 电 子 邮 件 对 话 ， 联 系 人 等 ） 将 发 送 给 攻 击 者 ， 攻 击 者 可 以 查 看 电 子 邮 件 对 话 ， 联 系 人 等 ， 如 下 所 示 。 0 5 结 论 我 迅 速 向 该 公 司 报 告 ， M a i l . r u 悬 赏 1 0 0 0 美 元 。 感 谢 您 的 奖 励 。
审 核 认 为 这 不 是 S t o r e d   X S S 漏 洞 ， 其 错 误 是 跨 应 用 程 序 脚 本 （ C A S ） 。 据 我 了 解 ， 可 以 在 i O S 中 执 行 J a v a S c r i p t 的 漏 洞 称 为 X S S 。 可 能 是 我 错 了 或 . . 扫 码 关 注 我 们 扫 码 关 注 我 们                     长 按 二 维 码 关 注 E D I 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理