extmail的几个xss问题及修复方案 - 网站安全 - 自学

ExtMail最初以WebMail软件为主，后逐步完善配套并形成了ExtMail邮件系统，提供完整的SMTP/POP/IMAP/Web和管理支持。目前装机量超过2万台。   extmail 是一款部署比较多的开源的webmail系统，但是，该系统在处理邮件及其他细节方面，存在几个问题，导致攻击者可以针对使用该webmail的用户进行攻击，获取mail账户的访问权，或者直接修改密码。 详细说明： 1，cookie 中sid，是惟一的用户登录凭证，获取该sid即可登录目标邮箱。此处不算 漏洞 ，只为说明下列问题的利用。 www.2cto.com 2，信息泄露 http://demo.extmail.org/extmail/cgi/env.cgi 3，邮件正文及附件处存在xss漏洞。 4，地址簿等处存在xss 6，登录后即可获取邮箱安全问题及答案，用于修改密码 发送xss邮件，获取sid，登录，获取邮箱安全问题和答案，修改密码，，， 漏洞证明： 1，正文iframe     2，附件     3，地址簿     4，信息泄露       5，密保问题     修复方案：   你们专业，我就不献丑了。     作者  unic02n

查看更多关于extmail的几个xss问题及修复方案 - 网站安全 - 自学的详细内容...