中国网络渗透测试联盟
标题:
搜狐邮箱存储型XSS漏洞
[打印本页]
作者:
admin
时间:
2013-11-6 17:48
标题:
搜狐邮箱存储型XSS漏洞
简要描述：对某标签和某属性过滤不严导致可以在邮件中植入恶意代码
8 D, M, A: J5 ]/ j; A
详细说明：按照老习惯通过支持html编辑的邮箱往目标邮箱海量发送xss vectors然后看漏了什么
4 N& a* d+ C3 t: U' g$ q
[attach]274[/attach]
- }9 H/ x7 }6 k' V+ e$ z9 n
' g% U. U/ r. y
可以看到我的svg被提前闭合了，rect里面的 width="1000" height="1000" fill="white"各种属性也和王力宏那首“你不在”一样，不见了。。不过貌似对于xlink:href没有过滤这是硬伤啊。接下来只要能让我插入math标签，这个问题基本上就算是解决了。
9 l% h2 C) h1 H ]/ \. Z+ R5 N
而事实上。。。确实就那样成功了
3 U5 y' [* e9 S2 e
有效的payload如下:
<math><a xmlns:xlink="http://www.w3.org/1999/xlink" xlink:href="javascript:alert(1)" target="_blank">abc q<rect></rect></a> </math>
1 ~" m" f& W& W4 t) ^0 j* ^- e
+ B4 @. }" J8 O% o
复制代码
0 M6 q2 m# \' _1 C! ^( B
当然也可以缩减一下,写成这样。
<math><a xlink:href=javascript:alert(1)>I'mshort
?% Y: |+ ]1 m' K6 D
& W" u7 @6 |) u, i7 Y6 ^
复制代码
3 o `6 \7 s7 i9 F; i: b
漏洞证明：
$ k7 i) ?; b: \+ W( w' p3 v
" m- ^& `) A% q, G$ ~2 H
[attach]275[/attach]
# Y+ w9 v+ Q/ w- a ^2 {
$ M/ v& q+ g" S. n: j: P
修复方案：对xlink:href的value进行过滤。
% J( i! Z' ~' g4 d
2 a3 S: n5 B% U+ Z5 F5 v
来源 mramydnei@乌云
. w! b- |' h7 P4 E& N$ A0 E
7 \. t. ]3 \; A0 ?& L* W
& `& r! b* {' Q8 n. q: b( Q
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2