Feedly爆出JS注入漏洞

2014-05-13 +4 190220人围观 ,发现 8 个不明物体 漏洞资讯

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

写在前面:

移动互联网无疑是当今的热门,很多的安全从业者和安全公司也纷纷把目光投向了移动安全,下面的漏洞就是一个例子。

正文:

随着移动互联网的发展,发生在移动端的安全威胁的次数和精密程度也随之提高。特别是针对于android平台的攻击,一个成功利用的expoilt就可以影响到成千上万的用户。而针对android用户,恶意的黑客最常使用的手段就是直接在热门APP中植入危险的javascript代码。

新加坡安全研究员Jeremy S在Feedly android APP上就发现了可以插入javascript代码的严重安全缺陷。

Feedly是一个支持anroid和ios的热门应用,他会整合blog,website,RSS Feeds 和一些期刊杂志的信息。Jeremy S发现的漏洞在blog post之中,他可以将javascript代码注入到APP之中而引发XSS攻击。

通过执行javascript,攻击者可以实施不同的攻击手法,比如,cookie盗取恶意页面包含,在受害者手机中植入恶意代码,等等。

Jeremy S放出了POC,这个POC会在受害者的浏览器中显示一个按钮

</script>
<button onclick=”location.href=’http://www.potentially-malicious.site’” id=”1″ value=”1″/>BreakToProtect’s Button
<but

这个漏洞在3月10号被报告,24小时之内就被修复了,用户可以升级版本以保证安全。

这些评论亮了

发表评论

已有 8 条评论

取消
Loading...

特别推荐

推荐关注

活动预告

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php