QQ邮箱从被忽略的self-xss到影响多平台的高危漏洞

前言:

本文原创作者挖低危的清风,本文属i春秋原创奖励计划,未经许可禁止转载!原文链接

起因:

之前挖掘了腾讯邮箱的任意用户伪造漏洞被忽略了,虽然给了几十个币补偿,但就感觉很难受,于是又在腾讯邮箱开始倒腾了起来。

这次我把重点放在了邮箱的日历功能,和往常一样我在日历中插入了XSS代码。并设置好提醒时间。


image.png

时间到了我在手机QQ邮箱中收到了提醒,并触发了XSS。


image.png

当看到成功触发之后,我当时也就没深挖了,直接提交给了TSRC。果不其然,第二天一看被忽略了。(内心PS:我也知道这是个self-xss,并且是file域下,是无法获取到cookie等信息的。但是心存侥幸-、-,以为不会被忽略,但现实始终是残酷的。)
image.png

被忽略之后呢,我接着进行挖掘,终于我在日历处,发现了一个共享日历的功能。接着我用我小号进行了测试。


image.png

同时小号收到了日历共享的确认邮件。那么一旦点击加入日历,就会触发我在日历中设置的定时提醒。
image.png

到这里危害似乎提升了一些了,但是还是存在一些问题,必须对方手动确认才能加入,这对攻击造成了不便。提交的话估计也就是一个中危漏洞。(PS:那我肯定不满足于此)

于是我对邮件中加入日历的连接进行了分析。想看看是否有CSRF的问题,但经过测试发现email和sid参数为当前账户的一个标识,无法进行更改,一旦更改就无法成功加入,故这条路猝。
image.png

于是我把重心放在了QQ邮箱APP上,经过测试发现,邮箱APP中的日历也提供分享功能,可以把日历分享给微信好友。(但是这也有缺陷,还是需要对方手动确认,和之前邮件确认加入的差别不大)


image.png

怎么才能扩大危险程度呢,这个时候我将这个分享发到了我的电脑上的微信客户端,发现这个分享是个web版的,这个时候,我就觉得可能会出问题。于是我查看了它的源文件和JS文件。
在js中判断了当前ua头,分别是微信,qq,qq邮箱和web。
image.png

同时判断UA头后进行相应的跳转,而跳转中最关键的识别码就是token_code。这个是类似于身份鉴别的,根据这个token来决定你加入的共享。


image.png

而问题就出在这儿,这个token是硬编码到网页中的。并且这个共享并不会要求对方登录。只要对方安装了邮箱APP并且登录了的即可加入共享。
image.png

那么这个时候,我们来捋一下思路,我们有一个日历提醒的self-xss,同时日历可以共享,然后我们现在还有了一个对方无需登录认证即可加入分享的功能。
于是我根据其跳转的主要逻辑,在自己的网页中也写入了相同的功能,并且加入了自动点击功能,使其只要访问我的网页,就能加入到我的日历共享中。

视频演示:

链接:https://share.weiyun.com/5lC9pUo 密码:wam5hq

结果展示:

WEB,QQ,微信全部受影响。
image.png

image.png

image.png

总结:

有时候漏洞危害小,也不要放弃,合理利用也能造成严重危害。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 214,172评论 6 493
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 91,346评论 3 389
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 159,788评论 0 349
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 57,299评论 1 288
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,409评论 6 386
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,467评论 1 292
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,476评论 3 412
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 38,262评论 0 269
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,699评论 1 307
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,994评论 2 328
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,167评论 1 343
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 34,827评论 4 337
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,499评论 3 322
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,149评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,387评论 1 267
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 47,028评论 2 365
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 44,055评论 2 352

推荐阅读更多精彩内容