雅虎郵箱存儲型XSS漏洞，黑客能看任何人的郵件

最近來自芬蘭Klikki Oy的研究員Jouko Pynn?nen發表了一篇博客，其中演示了惡意攻擊者如何利用XSS漏洞攻下雅虎郵箱，將受害者收件箱中的郵件發到外部站點；以及構建病毒，這個病毒可以通過向郵件簽名中添加惡意腳本，附加在所有傳出的電子郵件中。

由於惡意代碼就位於郵件消息的正文中，代碼會在受害者打開郵件時立即執行，不需要其他交互過程。所有問題的癥結實際上在於雅虎郵箱無法正確過濾HTML郵件中潛在的惡意代碼。

以下是對這名研究人員博客文章的內容編譯：

發現歷程

離去年給雅虎挖洞也快一周年了，這個時間點我也打算再來一發。一開始我覺得基本的HTML過濾應該不會再有漏洞了，但在最近寫郵件的時候，我發現了很多添加附件的選項，這些選項我去年倒是沒有太注意。

然後我寫了一封郵件，裡面包含各種附件，並發到某外部郵箱，這樣我就可以檢查郵件的HTML源碼了。

雅虎郵箱提供了一項功能，可以從雲服務中分享文件。在郵件中進行分享之後，文件不會附在郵件的附件中，而是會使用HTML代碼插入一個鏈接，比如Google文檔/Dropbox的鏈接。

在此，data-* HTML屬性吸引了我的注意。首先是因為我去年窮舉了一些雅虎郵箱過濾所允許的HTML屬性，但是沒有能夠窮舉出全部屬性。

第二，由於data-*屬性存儲的為Javascript所用的特定應用數據，所以這可能是個不錯的攻擊切入點。也就是說，可以在郵件中嵌入一些HTML屬性繞過雅虎郵箱的過濾。

為了進一步了解data-*屬性，我使用Chrome的開發者工具進入源碼標籤，尋找JavaScript文件中引用的data-url屬性。

我發現YouTube的鏈接也會被雅虎郵箱「優化」，如果你在郵件中輸入Youtube的視頻鏈接，雅虎郵箱就會自動幫你生成一個「鏈接加強卡片」，如下圖所示，卡片中會包含一些data-*屬性。

當用戶打開包含這類「卡片」的郵件，雅虎就會通過