简要描述：对某标签和某属性过滤不严导致可以在邮件中植入恶意代码% z4 t* H4 M$ g& K3 A8 g( y
详细说明：按照老习惯通过支持html编辑的邮箱往目标邮箱海量发送xss vectors然后看漏了什么1 v1 E9 G7 p5 S) [( v! s3 l# |
+ Q7 x* e4 A- I1 }
2 {# m7 a9 F- h- O" H' V可以看到我的svg被提前闭合了，rect里面的 width="1000" height="1000" fill="white"各种属性也和王力宏那首“你不在”一样，不见了。。不过貌似对于xlink:href没有过滤这是硬伤啊。接下来只要能让我插入math标签，这个问题基本上就算是解决了。$ q6 J$ ~: U4 x+ s/ V( S
而事实上。。。确实就那样成功了7 b1 L; D* L7 s" \1 W
有效的payload如下:- <math><a xmlns:xlink="http://www.w3.org/1999/xlink" xlink:href="javascript:alert(1)" target="_blank">abc q<rect></rect></a> </math>
0 o/ l+ ]. ]# t+ s: W9 }
X* j" c j4 ]1 ^5 ~复制代码
/ x6 u: |, G. M% G4 U当然也可以缩减一下,写成这样。- <math><a xlink:href=javascript:alert(1)>I'mshort3 J$ P% c3 g0 ~; \# |) ?6 k
7 ?7 w6 R! { ^9 ]3 m复制代码
Q7 P3 W4 c/ ? J3 d0 U6 i5 M# V% B. Q漏洞证明：
! |- \* T3 s' W% Z7 V+ a/ b# \( q- c/ T' d; @; |
6 W6 f2 o8 z2 l* f' @
0 s5 y. d& k4 S修复方案：对xlink:href的value进行过滤。
6 L! T0 i3 f+ z a S5 J2 u( y, |; e5 G# k9 ~. z
来源 mramydnei@乌云 2 a9 k$ ]3 e# F/ f# U1 v- I, e" |
! T2 t, _, t3 Y/ v4 J
4 u. C6 K4 w s. A% S! M9 F |
发表于 2013-11-6 17:48:19
收藏
支持
反对