QQ Mail是Tencent公司提供的webmail服务，你可以使用你的QQ帐户来登陆使用Mail服务，具体的信息可以访问 http://mail.qq.com/。但是80sec团队成员在QQ Mail里发现存在跨站脚本漏洞，恶意用户可以通过该漏洞在邮件里伪造登陆表单窃取目标用户的密码以及偷取Cookie以取得其他用户的身份，或者使用 ajax等技术读取用户的敏感信息。
QQ Mail的Javascript Dom部分在处理邮件内容，对邮件内容字符串的处理分为str和code两个流程，通过组合的标签内容可以误导Javascript处理图片内容和文字链接进入str流程，将HTML编码字符串还原为HTML标签。
QQ Mail
QQ Mail已经修补漏洞，转义字符串中的”<” ,”>”.
修改js在<a href=http://res.mail.qq.com/zh_CN/htmledition20080626/js/all.js target=_blank>http://res.mail.qq.com/zh_CN/htmledition20080626/js/all.js</a>
var str = obj.nodeValue.replace(/</g,"&lt;").replace(/>/g,"&gt;"); //1993行
建议程序员使用DOM中的元素的时候要注意安全问题，这些元素还是由用户输入中带来的，使用之前还是需要过滤。
共 1 兑换
京公网安备 11010502034610号
暂无评论