0day XSS на Gmail.com — ANTICHAT Forum

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.

Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.

⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

0day XSS на Gmail.com

29.07.2007, 23:37

OneMiay

Познающий

Регистрация: 04.06.2006

Сообщений: 33

Провел на форуме:
204953

Репутация: 117

0day XSS на Gmail.com

Всем привет только что писал троя, а обнаружил ХСС-ку на крупном почтовике!!!
Объясняю принцип действия подручными средствами, т.к не хочу полить, наверное уже сейчас мега червя.
1) Регим мыло допустим на tut.by, я сделал такое xacker@tut.by
2) Настроим перенаправление почты на другой адрес, т.е target@gmail.com
3) Берём клиента какого-нить почтовика, я брал The Bat!
4) Пишем новое письмо на адрес xacker@tut.by к которому присоединяем аттач
с именем XXXXXXXX.html c таким содержимым:
<script>alert('XSS found OneMiay');</script>
5) Отправляем.
6) Заходим на target@gmail.com и жмём Загрузить - видим

Или если текст файла:
<script>alert(document.cookie);</script>

Пускай ХСС-ка пассивная, но никто не мешает заменить имя файла и адрес отправителя. (RFC SMTP)

Автор не несёт никакой ответственности за предоставленную информацию, так как она изложена ради вашей же безопасности. Ответственность за неправомерное применения данной информации ложиться только на вас и карается УК РФ ст. 272