搜索

[9791] 2016-01-29_雅虎邮箱XSS漏洞细节分析

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2016-01-29_雅虎邮箱XSS漏洞细节分析 雅 虎 邮 箱 X S S 漏 洞 细 节 分 析 d a w n e r   F r e e B u f   2 0 1 6 - 0 1 - 2 9 本 月 雅 虎 邮 箱 爆 出 了 一 个 本 月 雅 虎 邮 箱 爆 出 了 一 个 X S S 漏 洞 ， 该 漏 洞 允 许 代 码 嵌 入 特 殊 格 式 的 电 子 邮 件 。 在 用 户 预 览 邮 件 时 ， 不 知 不 觉 就 会 漏 洞 ， 该 漏 洞 允 许 代 码 嵌 入 特 殊 格 式 的 电 子 邮 件 。 在 用 户 预 览 邮 件 时 ， 不 知 不 觉 就 会 自 动 触 发 自 动 触 发 X S S 。 。 影 响 影 响 W E B 邮 箱 的 邮 箱 的 X S S 漏 洞 漏 洞 我 们 向 雅 虎 提 交 了 一 个 电 子 邮 件 的 P O C ， 它 能 直 接 把 受 害 者 的 收 件 内 容 转 发 到 外 部 的 网 站 ， 并 且 顺 带 有 蠕 虫 扩 散 的 功 能 。 不 过 让 人 庆 幸 的 是 ， 此 漏 洞 在 互 联 网 上 还 没 有 发 现 之 前 已 经 被 官 方 修 复 。 这 个 漏 洞 影 响 了 所 有 版 本 的 雅 虎 W E B 邮 箱 ， 但 移 动 a p p 并 未 受 影 响 。 据 报 道 ， 雅 虎 邮 箱 是 全 国 第 二 大 电 子 邮 件 服 务 商 ， 截 止 于 2 0 1 4 年 2 月 ， 它 已 拥 有 3 亿 客 户 。 细 节 细 节 首 先 ， 我 们 会 发 送 一 封 带 有 所 有 已 知 H T M L 标 签 的 邮 件 进 行 f u z z ， 看 看 雅 虎 邮 箱 有 哪 些 标 签 没 有 过 滤 。 观 察 过 雅 虎 邮 箱 的 测 试 结 果 后 ， 我 们 注 意 到 如 果 b o o l 型 的 H T M L 属 性 赋 予 了 值 ， 过 滤 器 会 把 它 r e m o v e 掉 ， 但 是 等 号 会 保 留 下 来 。 比 如 ： < I N P U T   T Y P E = " c h e c k b o x "   C H E C K E D = " h e l l o "   N A M E = " c h e c k   b o x " > 过 滤 后 ： < I N P U T   T Y P E = " c h e c k b o x "   C H E C K E D =   N A M E = " c h e c k   b o x " > 初 看 似 乎 没 什 么 问 题 ， 但 是 W E B 浏 览 器 在 处 理 时 会 发 生 某 些 特 别 的 变 化 。 比 如 ， 在 c h e c k e d 属 性 里 ， 默 认 等 于 c h e c k ， 不 用 赋 值 也 可 以 正 常 显 示 。 这 种 行 为 是 基 于 H T M L 规 范 ， 在 不 带 引 号 的 属 性 值 里 ， 是 允 许 无 字 符 或 空 格 字 符 的 。 这 个 特 性 可 以 让 我 们 无 限 制 地 插 入 带 这 个 特 性 可 以 让 我 们 无 限 制 地 插 入 带 b o o l 属 性 的 属 性 的 H T M L 标 签 ， 在 这 个 标 签 ， 在 这 个 P O C 中 ， 我 们 使 用 了 中 ， 我 们 使 用 了 标 签 ， 比 如 ： 标 签 ， 比 如 ： < i m g   i s m a p = ' x x x '   i t e m t y p e = ' y y y   s t y l e = w i d t h : 1 0 0 % ; h e i g h t :   a u t o   ! i m p o r t a n t ; p o s i t i o n : f i x e d ; l e f t : 0 p x ; t o p : 0 p x ;   o n m o u s e o v e r = a l e r t ( / X S S / ) / / ' > 雅 虎 邮 箱 过 滤 后 ： < i m g   i s m a p = i t e m t y p e = y y y   s t y l e = w i d t h : 1 0 0 % ; h e i g h t :   a u t o   ! i m p o r t a n t ; p o s i t i o n : f i x e d ; l e f t : 0 p x ; t o p : 0 p x ;   o n m o u s e o v e r = a l e r t ( / X S S / ) / / > 这 封 带 P O C 的 邮 件 ， 整 个 浏 览 器 会 被 i m g 标 记 占 满 整 个 窗 口 。 J a v a s c r i p t 代 码 的 o n m o u s e o v e r 属 性 值 将 即 时 执 行 ， 不 会 与 用 户 进 行 进 一 步 的 交 互 。 在 邮 件 设 置 里 禁 止 或 允 许 图 像 ， 都 是 不 能 够 阻 止 攻 击 的 。
官 方 反 馈 官 方 反 馈 这 个 漏 洞 在 2 0 1 5 年 1 2 月 2 6 日 通 过 H a c k e r O n e 漏 洞 奖 励 平 台 报 告 给 雅 虎 ， 官 方 于 2 0 1 6 年 1 月 6 日 进 行 修 复 ， 并 为 此 奖 励 了 漏 洞 报 告 人 员 1 万 美 金 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理