中国网络渗透测试联盟

标题: 经纬网xss [打印本页]
作者: admin    时间: 2013-11-6 18:02
标题: 经纬网xss

) {# f7 ~7 Y1 m+ ?% H
本帖最后由 Lightly 于 2013-10-26 21:56 编辑
% d0 f# g# G6 m2 T3 T- R" c& y$ \
( k" s7 Q( n0 L' ]漏洞[/url]先要注册一个新号：5 ~$ g& T5 [0 h% N2 M6 ?
名字写成名人的，这样子在用户推荐处还有搜索就会触发Xss
' R* A+ p! f- T( L
0 T6 p% K0 Y# P: R. s. u! Y5 A( f3 W
[attach]277[/attach]
! D$ x: U+ H) N7 G9 r( i
5 A- @1 O9 O3 r6 c4 z2 t6 D0 |& H' H$ O& L# R& S1 c; M
# R! d2 Z3 E1 e# b* u2 p* L. u
写入Xss代码的地方一处都没有过滤！5 z# ]; q4 {) e6 ~7 h/ H* O

  I9 h! x/ Y3 @. Q% m5 f/ n2 |7 _  j! @
) U% ^, f. i1 M9 K8 f5 @( [

/ A( o# ?) X: s2 ]5 Y3 }% G1 _+ p! F' P( Q! B, B! d

1 h2 K( Q. ~' `; o0 I# d; d# h, N  T' u1 q7 q! s. k
  z4 l4 k4 G7 H0 u$ o8 q: x& S
: i2 U7 A' b2 ]* W6 K" r
[attach]278[/attach]
" s% B; U% E: U% U2 l7 T3 G! h8 ?
  r/ j/ ]% f9 h
+ \! \7 B6 m8 K9 [. N( x4 |6 ?; u2 n& W

9 b# y* l. t! J( @[attach]279[/attach]
4 D. C$ G. h& ^9 Q) a, _. _. w
2 ?5 A0 i+ K8 v6 ]( o4 i/ V, T[attach]280[/attach]
% Y0 o6 a* u9 v8 l9 t, _0 J6 D: f$ }  k: I- j0 w
6 v' g$ f0 k" m  N

. W" l- n4 a3 t% L
! T+ l3 `8 I( f. Q- {! w7 p
. `: ?( u4 `3 L修复方案：) @* ~  d* f- _$ C1 M$ X  s; `( a

* ]. @$ I+ D+ P  K! D过滤，转义。 2 @# O3 V+ s7 t( h( [% R
' \; e" z& D$ ]) v0 V7 L9 E

% T' K8 W, S8 O( R9 J( V4 b' X) p* D3 B! D! `9 B

9 A% {( ?8 [3 f. e+ R2 e
0 L/ j4 `6 p) Y" B
3 l: a1 Y; l7 w9 s




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2