漏洞說明：QQ Mail是Tencent公司提供的webmail服務(wù)，你可以使用你的QQ帳戶來登陸使用Mail服務(wù)，具體的信息可以訪問http://mail.qq.com/。但是80sec在QQ Mail里發(fā)現(xiàn)存在新的嚴重跨站腳本漏洞，惡意用戶可以通過該漏洞在郵件里偽造登陸表單竊取目標用戶的密碼以及偷取Cookie以取得其他用戶的身份，或者使用ajax等技術(shù)讀取用戶的敏感信息，任何瀏覽該郵件的用戶都存在身份泄漏的風(fēng)險。
漏洞成因：QQ Mail的Filter在解析Html標簽時存在錯誤，構(gòu)造畸形的Html標簽將繞過過濾，從而在郵件正文里執(zhí)行任意javascript。QQ Mail對這種類型的標簽不做任何過濾，認為是無效html標識符而不做過濾，但是IE卻可以正常解析該Html，所以構(gòu)造如下的畸形Html郵件。
Hello,80sec
將觸發(fā)Xss漏洞。
漏洞測試：發(fā)送如下Html：
Hello,80sec
下載 
下載 
下載 
下載 
下載 
下載 
喜歡 
頂
難過
囧
圍觀
無聊
