office 365中的0-k8凯发棋牌

5 月 1 日，avanan 的研究人员发现 office 365 中出现了一个名为 basestriker 的 0-day 漏洞。攻击者可利用这个漏洞发送恶意邮件，绕过 office 365 的账户安全机制。

basestriker 漏洞的代码使用了不常用的 < base > html 标签，主要是为相对的链接建立基本 url。开发者经常在 html 文档（网页）的 部分声明这个标签。

例如，某个网站可能通过以下方式声明其基本 url：

< base href = "https://www.example.com" / >

声明之后，开发者会将链接加入基本 url 的全文中，但无需将全部代码写出来：

< img src = "/images/slider/photo-1.png" / >

在底层，html 渲染引擎（通常是浏览器）将合并基本url和相对路径，并附带如下内容：

https://www.example.com/images/slider/photo-1.png

问题就在于，office 365 不支持“基本”html 标签。因此，攻击者只需发送一封富文本格式的邮件，office 365 就无法扫描并检测到 url 中隐藏的恶意软件代码。这种富文本格式邮件的结构如下：

outlook 将正确显示链接，这意味着用户可以点击链接并进入预设的页面。但是，高级威胁防护（atp）和 safelinks 等 office365 安全机制在扫描链接之前不会将基本 url 和相对路径合并在一起，这些系统只会分开扫描每个部分。

avanan 研究员对多种电子邮件服务都进行了测试，结果发现只有 office 365 易受 basestriker 攻击。

basestriker 漏洞曝光才一周左右，研究人员就发现了相关的在野利用实例。有黑客利用这个漏洞发送网络钓鱼攻击，还能分发勒索软件、恶意软件和其他恶意内容。avanan 已经与微软联系并报告了相关调查结果，但微软尚未反馈。

在野利用详情可参考 avanan 的演示视频：

视频地址：