Mail.Ru मेल में HTML / CSS इंजेक्शन

सब कुछ नया एक अच्छी तरह से भूल गया पुराना है: मुझे याद है कि कई साल पहले एलजे में एक बग था जो तत्वों को पूर्ण स्थिति प्रदान करने के लिए टिप्पणी पाठ में सम्मिलित करने की अनुमति देता था। वास्तव में, इस पोस्ट में वर्णित सब कुछ इस विचार पर आधारित है।

वर्णित भेद्यता किसी भी इनपुट रूपों की चिंता करती है जो कस्टम HTML कोड के इनपुट की अनुमति देती है।

क्योंकि इनलाइन शैलियों का उपयोग करके स्थिति की संपत्ति निर्दिष्ट करने का विचार नया नहीं है, अधिकांश सेवाएं ऐसी शैलियों को फ़िल्टर करती हैं।
इस विचार को विकसित करते हुए, हम लेआउट में एक मौजूदा वर्ग को तत्व को सौंपने की कोशिश करेंगे, जिसमें हमारे पास आवश्यक संपत्ति का आवश्यक मूल्य है।

फायरबग में सीएसएस टैब पर खोज का उपयोग करके, आवश्यक गुणों के साथ एक वर्ग खोजना मुश्किल नहीं है:



यदि कक्षा में कोई अतिरिक्त गुण थे, तो इनलाइन शैलियों का उपयोग करके उन्हें ओवरराइड किया जा सकता है।

निम्नलिखित पत्र कोड पर विचार करें:

< div class = "pAbs" style = "top: 0; left: 0; width: 100%; height: 100%; background-color: pink; z-index: 65535;" >
< h1 > , %username%! < / h1 >
< / div >

वेब इंटरफ़ेस में इस तरह के पत्र को देखने पर, उपयोगकर्ता को सुंदर दिखाई देगा:



इस प्रकार, हमारे div में पूर्ण स्थिति है और इंटरफ़ेस के अन्य तत्वों को अस्पष्ट करता है।

जाहिर है, इस जोखिम का सबसे बड़ा खतरा एक प्राधिकरण के रूप में फ़िशिंग की संभावना में है। उसी समय, उपयोगकर्ता साइट को कहीं भी नहीं छोड़ता है और ब्राउज़र लाइन में पूरी तरह से वैध पता देखता है। मौजूदा CSRF भेद्यता के संयोजन में, आप मेल से बाहर निकलने वाले URL के साथ एक चित्र सम्मिलित कर सकते हैं, पत्र को खोलने के परिणामस्वरूप यह वास्तव में प्राधिकरण की आवश्यकता को जन्म देगा।

समस्याओं को रोकने के लिए, कस्टम HTML कोड में कक्षाओं का उपयोग करने की संभावना को बाहर करना आवश्यक है: रैम्बलर मेल, उदाहरण के लिए, वर्ग नामों में एक उपसर्ग जोड़ता है, यांडेक्स मेल बस वर्ग संपत्ति को निकालता है।

UPD ।: Mail.Ru के कर्मचारियों ने बग को ठीक करने के लिए एक हताश लेकिन असफल प्रयास किया। ;-)
युपीडी। 2: छोटी लड़ाई के बाद, बग को ठीक किया गया था।