当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0124779

漏洞标题:263企业邮箱绕过XSS过滤三

相关厂商:263通信

漏洞作者: 男丶壹号

提交时间:2015-07-06 14:51

修复时间:2015-08-04 09:45

公开时间:2015-08-04 09:45

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:厂商已经修复

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-07-06: 细节已通知厂商并且等待厂商处理中
2015-07-10: 厂商已经确认,细节仅向厂商公开
2015-07-20: 细节向核心白帽子及相关领域专家公开
2015-07-30: 细节向普通白帽子公开
2015-08-04: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

第三次绕过过滤,可打任意用户Cookie。

详细说明:

域名:http://mm.263.com
基于263企业邮箱邮箱对于XSS是采用正则匹配的方式,将“onerror”替换成“ _nerror”。
第一次绕过,接收邮件即触发:
WooYun: 263通信企业邮箱存储型XSS漏洞(绕过XSS过滤)
代码:

<img _ onerror="alert(document.cookie)" src="null"/>


第二次绕过,回复邮件即触发(富文本控件的机制):
WooYun: 263企业邮箱再次绕过XSS过滤
代码:

<img src=null [263]onerror="alert(/xss/)"/>


第三次绕过,接收邮件即触发:
刚才在知识库看到一篇关于用♀符号替换空格的文章,这里刚好可以用到。
http://zone.wooyun.org/content/21385
代码:

0.jpg


个性签名处:

3.jpg


构造利用脚本:

-1.jpg


发送邮件,抓包,修改邮件内容(这里必须抓包修改,不能直接发送,因为邮件内容文本框会自动转换格式,将特殊符号转换成了空格。)

1.jpg


只需要查看邮件,即打到用户Cookie:

2.jpg


利用上述Cookie,成功登录邮箱:

10.jpg


漏洞证明:

只需要查看邮件,即打到用户Cookie:

2.jpg


修复方案:

1.过滤还是比较片面。
2.对于重要的cookie(比如参数cid_xxx.com),可否加上httponly?

版权声明:转载请注明来源 男丶壹号@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2015-07-10 12:49

厂商回复:

正在修复

最新状态:

2015-08-04:已修复


漏洞评价:

评论

  1. 2015-09-08 23:47 | 杯水 ( 路人 | Rank:2 漏洞数:1 )

    此处应有掌声