当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0108480

漏洞标题：邮箱大师和网易邮箱Android客户端标签过滤不全可点击劫持攻击

相关厂商：网易

漏洞作者： nextdoor

提交时间：2015-04-23 17:53

修复时间：2015-07-23 17:16

公开时间：2015-07-23 17:16

漏洞类型：设计错误/逻辑缺陷

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-23： 细节已通知厂商并且等待厂商处理中
2015-04-24： 厂商已经确认，细节仅向厂商公开
2015-04-27： 细节向第三方安全合作伙伴开放
2015-06-18： 细节向核心白帽子及相关领域专家公开
2015-06-28： 细节向普通白帽子公开
2015-07-08： 细节向实习白帽子公开
2015-07-23： 细节向公众公开

简要描述：

我不是过来打脸的。手机端的Clickjacking案例还是比较少见的。我是过来分享的。

详细说明：

先说一下吧，邮箱对常用的标签没有进行过滤导致可以插入标签进行Clickjacking
1.测试XSS的过程中发现邮箱大师确实对XSS过滤的比较严。
但是可以插入iframe标签，利用iframe进入js的话不能实现执行JS代码。
能不能利用apk挂马呢，发现还是不行，
插入iframe仅仅可以插入一个网页，那么能不能实现ClickJacking.于是就试了试发现
style和button没有过滤，可以执行，那么我们就来构造Clickjacking。
2.首先伪造一个点击的请求，插入button的样式如下，把屏幕的邮箱部分全部覆盖。

<style>  
button { 
            position: fixed; 
            top: 0px;  //在这里可以调节button的任意位置
            left: 0px; 
            z-index: 1; 
            width: 400px; 
	    height: 600px; 
            opacity: 0.3; //调节透明度，当为0时完全透明
        } 
</style>
 
     <button onclick="location.href='http://192.168.191.1/xxx/index.php?
con=admin&act=manager_del&id=8'"></button>
//url是删除一个管理员的请求，如果要想实现什么请求，自己以自己可以想到的方式构造吧


3.下面我们就把代码插入我们测试用的邮箱，这个邮箱自己搭建一个，插入代码。

1632.PNG


插入后向邮箱大师和网易邮箱发送邮件。
分别用163，sina,sohu,qq等进行测试。发现163自身的邮箱对on进行了过滤，但
绑定的其他邮箱sina，sohu，qq及自己的邮箱没有对邮箱ClickJacking做防御。
存在点击劫持漏洞。
4.我们得到的邮件，
可以完全把button的透明度调为完全透明，实现欺骗点击者。
怎样欺骗用户呢，我们可以发一个链接或者很长的文章，当用户点击或者触及
屏幕向下阅读时触发ClickJacking
邮箱大师
可以看到一个半透明的button挡住了屏幕，欺骗时做成完全透明

Screenshot_2015-04-16-21-09-32.png


Screenshot_2015-04-16-21-10-44.png


Screenshot_2015-04-16-21-11-08.png


网易邮箱移动客户端的

Screenshot_2015-04-16-21-13-12.png


Screenshot_2015-04-16-21-14-14.png


Screenshot_2015-04-16-21-14-48.png


我们利用请求删除管理员，也可以做一些其他自定义的请求
我们未点击屏幕之前

1631.PNG


我们点击之后删除了用户test

Screenshot_2015-04-16-21-18-10.png

漏洞证明：

已证明

修复方案：

过滤危险标签

版权声明：转载请注明来源 nextdoor@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-04-24 17:14

厂商回复：

感谢您对网易的关注。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-23 18:17 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    我就喜欢这种小清新的打脸

  2. 2015-04-23 19:06 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    @子非海绵宝宝 打脸打的萌萌达

  3. 2015-04-23 19:09 | Nicky ( 普通白帽子 | Rank:477 漏洞数:69 | http://www.droidsec.cn 安卓安全中文站)

    支持继续分享~

  4. 2015-04-23 19:11 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    @Nicky 你的邮箱大师三部曲很牛啊

  5. 2015-04-23 19:45 | chock ( 实习白帽子 | Rank:58 漏洞数:15 | 今夜我们都是wooyun人，我们一定要收购长亭)

    @nextdoor 猪猪侠撞了你的洞

  6. 2015-04-23 19:49 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    @chock 没明白什么意思

  7. 2015-04-23 20:15 | 浅蓝 ( 普通白帽子 | Rank:274 漏洞数:109 | 爱安全:www.ixsec.orgXsec社区:zone.ixse...)

    明明就是来打脸的

  8. 2015-04-23 23:02 | chock ( 实习白帽子 | Rank:58 漏洞数:15 | 今夜我们都是wooyun人，我们一定要收购长亭)

    @nextdoor 呃，是我看错了，我以为是他发的