当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0108480

漏洞标题：邮箱大师和网易邮箱Android客户端标签过滤不全可点击劫持攻击

相关厂商：网易

漏洞作者： nextdoor

提交时间：2015-04-23 17:53

修复时间：2015-07-23 17:16

公开时间：2015-07-23 17:16

漏洞类型：设计错误/逻辑缺陷

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-23： 细节已通知厂商并且等待厂商处理中
2015-04-24： 厂商已经确认，细节仅向厂商公开
2015-04-27： 细节向第三方安全合作伙伴开放
2015-06-18： 细节向核心白帽子及相关领域专家公开
2015-06-28： 细节向普通白帽子公开
2015-07-08： 细节向实习白帽子公开
2015-07-23： 细节向公众公开

简要描述：

我不是过来打脸的。手机端的Clickjacking案例还是比较少见的。我是过来分享的。

详细说明：

先说一下吧，邮箱对常用的标签没有进行过滤导致可以插入标签进行Clickjacking
1.测试XSS的过程中发现邮箱大师确实对XSS过滤的比较严。
但是可以插入iframe标签，利用iframe进入js的话不能实现执行JS代码。
能不能利用apk挂马呢，发现还是不行，
插入iframe仅仅可以插入一个网页，那么能不能实现ClickJacking.于是就试了试发现
style和button没有过滤，可以执行，那么我们就来构造Clickjacking。
2.首先伪造一个点击的请求，插入button的样式如下，把屏幕的邮箱部分全部覆盖。

<style>  
button { 
            position: fixed; 
            top: 0px;  //在这里可以调节button的任意位置
            left: 0px; 
            z-index: 1; 
            width: 400px; 
	    height: 600px; 
            opacity: 0.3; //调节透明度，当为0时完全透明
        } 
</style>
 
     <button onclick="location.href='http://192.168.191.1/xxx/index.php?
con=admin&act=manager_del&id=8'"></button>
//url是删除一个管理员的请求，如果要想实现什么请求，自己以自己可以想到的方式构造吧


3.下面我们就把代码插入我们测试用的邮箱，这个邮箱自己搭建一个，插入代码。

1632.PNG


插入后向邮箱大师和网易邮箱发送邮件。
分别用163，sina,sohu,qq等进行测试。发现163自身的邮箱对on进行了过滤，但
绑定的其他邮箱sina，sohu，qq及自己的邮箱没有对邮箱ClickJacking做防御。
存在点击劫持漏洞。
4.我们得到的邮件，
可以完全把button的透明度调为完全透明，实现欺骗点击者。
怎样欺骗用户呢，我们可以发一个链接或者很长的文章，当用户点击或者触及
屏幕向下阅读时触发ClickJacking
邮箱大师
可以看到一个半透明的button挡住了屏幕，欺骗时做成完全透明

Screenshot_2015-04-16-21-09-32.png


Screenshot_2015-04-16-21-10-44.png


Screenshot_2015-04-16-21-11-08.png


网易邮箱移动客户端的

Screenshot_2015-04-16-21-13-12.png


Screenshot_2015-04-16-21-14-14.png


Screenshot_2015-04-16-21-14-48.png


我们利用请求删除管理员，也可以做一些其他自定义的请求
我们未点击屏幕之前

1631.PNG


我们点击之后删除了用户test

Screenshot_2015-04-16-21-18-10.png

漏洞证明：

已证明

修复方案：

过滤危险标签

版权声明：转载请注明来源 nextdoor@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-04-24 17:14

厂商回复：

感谢您对网易的关注。

最新状态：

暂无