中国网络渗透测试联盟

标题: 经纬网xss [打印本页]
作者: admin    时间: 2013-11-6 18:02
标题: 经纬网xss
  k# W8 O3 J0 i7 n7 A' k1 O% \
本帖最后由 Lightly 于 2013-10-26 21:56 编辑
. l6 o) `- M6 |: u
, l( l* g* c" P0 n" m- a% c2 U9 I漏洞[/url]先要注册一个新号：
; _% Y/ C5 |+ n/ j1 |# v; V名字写成名人的，这样子在用户推荐处还有搜索就会触发Xss
5 [, a! S$ H* q8 n# k9 \- {7 {) M. r8 l' v' B

0 \. N, `( }8 I: x( o[attach]277[/attach] 5 O- e7 Z( L2 z8 [/ U+ D
7 ]" r# _1 r8 y  ~) {/ _5 ?

; v* a. u1 |2 }6 G: \. j- G1 g: N5 R0 M+ J) e4 @1 H2 E5 c6 U
写入Xss代码的地方一处都没有过滤！/ G  a" w, p5 {/ A, j2 P

7 U" ]0 K  E) C2 K, {* S, w* W- g7 i* p

8 ~6 E- P3 ]- b- c1 B  g, \+ w* |9 O' n* U
; v. ]6 C1 |$ m& {  t
8 L- v0 h% F; q5 B6 e& s( @
4 \" G( }# f) Z% t% K* `
' |5 B: d8 z# w  f

  O8 t$ L/ [, |' c! z1 [* s[attach]278[/attach]
1 H) T# s* Y. m: f' o' T, f) y: u' t& Z5 B: i

: F& j9 i; R5 k! W6 R4 V) F
7 ?* d: V9 Z6 d1 c" o" v& N& C/ E9 {* B4 |; C
[attach]279[/attach]( a: N: X9 y% t5 h! _/ `% Q+ Y( a

# _& ^& H6 J5 b8 P, ^, V, s1 Z* L[attach]280[/attach]
$ v( m' ^% J( d" M8 r
& S: c: ]# {! ]+ \5 y8 h& t% @% G" w3 L: r  L
  l, N( y' p$ o) ^& H: f9 a& \
# l* |! n$ S; n7 Q8 V) S! x

+ O( |" {9 }. _+ b* Z& t修复方案：
* t% _" {5 {) k+ q# T5 y
& }) \5 h  ^- i- Z! ]2 g- I过滤，转义。
5 S* t! t) @  a% j0 O
; _( w6 S( N1 H4 C
: m+ e9 A) A0 }! V$ @
% R6 F! [( p! t3 x7 N/ i3 m( T4 Q# l' [* }

& K2 M. v9 }. Y  x2 ^2 j$ ]
: V5 c( `/ h! {' x# B




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2