欢迎您访问雅虎邮箱无法正确过滤HTML邮件中潜在的潜在恶意代码!

雅虎邮箱无法正确过滤HTML邮件中潜在的潜在恶意代码

更新时间:2023-06-01 16:05:34作者:佚名

近期来自美国Oy的研究员JoukoPynnönen发表了一篇博客,其中演示了蓄意防御者怎么运用XSS漏洞攻下雅虎邮箱,将被害者收件箱中的短信发到外部站点;以及建立病毒,这个病毒可以通过向电邮签名中添加蓄意脚本,附加在所有传出的电子电邮中。

因为蓄意代码就坐落电邮消息的正文中,代码会在被害者打开电邮时立刻执行,不须要其他交互过程。所有问题的根源实际上在于雅虎邮箱未能正确过滤HTML电邮中潜在的蓄意代码。

以下是对这名研究人员博客文章的内容编译:

发觉历程

离去年给雅虎钻洞也快一华诞了,这个时间点我也准备再来一发。一开始我认为基本的HTML过滤应当不会再有漏洞了,但在近期写电邮的时侯,我发觉了这些添加附件的选项,这种选项我今年倒是没有太留意。

之后我写了一封短信,上面包含各类附件,并发到某外部邮箱,那样我就可以检测短信的HTML源码了。

雅虎邮箱登陆首页_138邮箱登陆首页_如何登陆雅虎cn邮箱

雅虎邮箱提供了一项功能,可以从云服务中分享文件。在电邮中进行分享以后,文件不会附在短信的附件中雅虎邮箱登陆首页,而是会使用HTML代码插入一个链接,例如文档/的链接。

在此,data-*HTML属性吸引了我的留意。首先是由于我今年枚举了一些雅虎邮箱过滤所容许的HTML属性,并且没有才能枚举出全部属性。

第二,因为data-*属性储存的为所用的特定应用数据,因此这或许是个不错的防御发力点。也就是说,可以在电邮中嵌入一些HTML属性跨过雅虎邮箱的过滤。

为了逐步了解data-*属性,我使用的开发者工具踏入源码标签,寻求文件中引用的data-url属性。

我发觉的链接也会被雅虎邮箱“优化”雅虎邮箱登陆首页,假如你在电邮中键入的视频链接,雅虎邮箱都会手动帮你生成一个“链接推进卡片”,如右图所示,卡片中会包含一些data-*属性。

当用户打开包含这类“卡片”的短信,雅虎都会通过嵌入视频,视频里面就会有一个分享按键,这种功能就是通过雅虎邮箱JS代码的data-*属性实现的。

接下去,我尝试用data-*属性构造电邮,漏洞有了!

假如我们在data-url这个值中插入冒号,都会造成分享按键的HTML未能正确解读。

而只要URL对准的网站在雅虎的白名单中,例如对准,雅虎就不会再进行检测或则编码。data-url的值会被拿来设置div争创按键:

我进行的检测如下:

From: Subject: helloTo: victim@yahoo.comMIME-Version: 1.0Content-type: text/html

当我从雅虎邮箱打开电邮时,那段针对链接进行“优化”的代码会使用data-url属性来渲染按键。而掩藏在属性中的HTML花絮也会逐渐读取,我所添加的HTML代码是一个包含属性的

138邮箱登陆首页_雅虎邮箱登陆首页_如何登陆雅虎cn邮箱

,防御者的蓄意代码也就得以执行。

实际上,这个问题的根源可以溯源到雅虎邮箱的一个函数:

function generateButton(e,t) {   var n=this,r;
   t.insert([''].join(""));
   r=t.one("."+o);
   n._attachButtonListeners(r);}

这个函数名称为t..(r.,s),第一个参数就是短信中嵌入的data-url属性。

可以看见,顶部HTML的部份就是直接把字符串条纹了上去,没有做任何更改。

影响

这次发觉的这个漏洞的影响跟今年的XSS漏洞实际上是一样的。

为了证明漏洞的存在性,我给雅虎安全部委发了一封短信,短信打开时,会使用AJAX调用用户收件箱中的短信内容,并把它发送到防御者的服务器。

作者早已于11月12日通过向雅虎安全递交了漏洞,11月29日雅虎提供了1万日元的赏金。

为您推荐

波士顿大学商学院排名好的专业有哪些?彬彬教育

波士顿大学商学院排名好的专业:本科波士顿大学商学院排名好的专业:研究生波士顿大学商学院本科专业排名2020美国大学商学院金融专业排名:36(↑);2020美国大学商学院创业管理专业排名:37(↑);2020美国大学商学院会计专业排名:47(↑);波士顿大学商学院研究生专业排名2021美国大学商学院项目管理(MBA)专业排名:4(↑);波士顿大学商学院排名

2023-06-01 14:07

2016年上半年本科教学教师教学团队工作会议在行政楼B301

7月14日下午,2016年上半年本科教学教师教学团队工作会议在行政楼B301召开,校长夏建国、副校长鲁嘉华及全体教学团队负责人、2016年校优秀学生导师出席了会议。

2023-05-30 21:05

百字作文挑战6——电影《地道战》观后感五(12)班

百字作文挑战6—电影《地道战》观后感《地道战》观后感你的这篇观后感堪称范文,老师为你骄傲!《地道战》观后感今天,我看完一部电影《地道战》,我心里有十分多的说不清的感触,请让我一一说给你听吧。《地道战》观后感星期天,我在家看一部电影,名字叫《地道战》。《地道战》观后感

2023-05-30 20:06

(名师推荐)阅读与收藏——《尺有所短寸有所长》

《尺有所短,寸有所长》读后感《尺有所短,寸有所长》读后感1《尺有所短,寸有所长》读后感2我读了一篇文章叫《尺有所短,寸有所长》。“尺有所短,寸有所长。《尺有所短,寸有所长》读后感3《尺有所短,寸有所长》读后感4《尺有所短,寸有所长》读后感5【《尺有所短,寸有所长》读后感】相关文章:尺有所短寸有所长读后感03-04

2023-05-30 17:06

(教师招聘)文明礼仪是什么?——致教师的一封信

做个文明中国人演讲稿”做怎样的人,这个问题会有很多的答案,但是这些答案的背后都有一个基本点,那就是做人首先要做一个文明的人。做文明人就要文明用语,文明做事。做个文明中国人演讲稿托起我的中国梦,做文明有礼的中国人直到今天,文明有礼仍在我们举手投足间若隐若现,是每一个中国人仍需怀揣的中国梦。做一个文明的中国人,把礼貌时刻放在心上。说文明语,做文明事,懂礼貌,明事理,把中国人以礼待人的一面展现给外国友人看。

2023-05-30 15:03

我是幸福的,因为,我有爱,亦去爱

我是幸福的,因为,我有爱,亦去爱。幸福是什么?幸福就是姐姐谦让地让我去看电影时的爱;幸福是什么?幸福,就在一家人的相伴里,就在一家人的相爱相守中。原来,陪伴就是世界上最深情的爱的告白!幸福是什么?遇到关于“幸福”,“感动”等以情感类为主题的作文,可以着手于小事描写。父母从小鼓励孩子写作并发表和分享,则会给孩子的学习带来十足的动力和自信,甚至会改变孩子的一生。

2023-05-30 14:05

加载中...