人人桌面挂马漏洞

来源 路人甲@乌云

简要描述:

人人桌面程序对用户发表的日志中的html代码直接解析,造成攻击者有机会成功进行挂马攻击

详细说明:

在人人中发布一篇日志,期中含有html代码,在人人桌面中就会一网页方式解析这些代码,这样如果发布一个带有挂马代码或者其他恶意代码的日志,就会对通过人人桌面程序阅读或者回复这篇日志的用户完成一次攻击。

漏洞证明:

先在人人中发布一篇日志内容为:

<html> <head><title>test</title></head> <body> <iframe src="http:\\www.baidu.com" weight="200" height="500"></iframe> </body> </html>


发布后我们可以看到,在人人网页中文字没有问题(图1),而在我的好友的人人桌面中打开这篇日志(图2),可以看到代码被成功解析了,把百度的地址换成网页木马的地址,当好友用人人桌面访问时一次挂马攻击就完成了。

发表评论?

0 条评论。

发表评论