安基网 首页 资讯 互联网 查看内容

攻击者可利用印象笔记中的XSS漏洞执行命令并窃取文件

2018-11-11 07:39| 投稿: lofor |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 安全专家在印象笔记(Evernote)应用程序Windows客户端发现一个存储型XSS漏洞,该漏洞可被用于窃取文件、执行任意命令。以昵称“@sebao”在网上活动的安全专家在印象笔记应用程序Windows 客户端中发现存储型跨站点脚 ...

安全专家在印象笔记(Evernote)应用程序Windows 客户端发现一个存储型XSS漏洞,该漏洞可被用于窃取文件、执行任意命令。

以昵称“@sebao”在网上活动的安全专家在印象笔记应用程序Windows 客户端中发现存储型跨站点脚本(XSS)漏洞攻击者可利用该漏洞窃取文件以及执行任意命令。 

Sebao注意到,用户在笔记中添加照片后,可以使用JavaScript代码对文件重命名,而不是普通名称。该专家发现,当该笔记被分享至另一个印象笔记用户时,接收者点击图片便可执行该代码 

印象笔记于九月发布版本6.16.,对该存储型XSS漏洞进行了修复,但并未完全修复该漏洞。 

知道创宇404实验室(Knownsec 404 Team)专家朱铜庆发现,上述方法经变通后仍能执行任意代码 

朱铜庆发现,该取代“名称”命名的“代码”可从远程服务器下载Node.js文件,该脚本可通过印象笔记在演示模式下使用的NodeWebKit执行。 

朱铜庆解释道,“我发现,NodeWebKit存在于印象笔记的‘C:\\Program Files(x86)\Evernote\Evernote\NodeWebKit’文件中,且在演示模式下可用。另一个好消息是,我们可在演示模式下利用存储型XSS执行Nodejs代码。” 

攻击者只需诱导印象笔记在演示模式下打开一个笔记,便可窃取任意文件并执行命令

朱铜庆演示了黑客如何利用该漏洞在目标系统中读取Windows文件,以及执行Calculator应用程序。 

印象笔记于10月发布了Windows 6.16.1测试版,首次修复了该编号为“CVE-2018-18524”的漏洞。而印象笔记于本月初发布的Evernote 6.16.4中,发布了该漏洞的终极补丁。


E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号j871798128②邮箱eapp@easyaq.com

@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站户网站户网站www.easyaq.com , 查 , 查 , 查看更多精彩内容。

Tag标签:

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.easyaq.com/news/206251732.shtml

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人
1

路过

鸡蛋

刚表态过的朋友 (1 人)

相关阅读

最新评论

最新

返回顶部