中国网络渗透测试联盟

标题: 经纬网xss [打印本页]
作者: admin    时间: 2013-11-6 18:02
标题: 经纬网xss
! Y6 l2 c" R% D  b
本帖最后由 Lightly 于 2013-10-26 21:56 编辑4 Y* ]2 g8 m/ \, F7 @# ]
/ @3 |/ u" q6 Z. a: _
漏洞[/url]先要注册一个新号：
% S  W+ |0 w5 M/ _" s名字写成名人的，这样子在用户推荐处还有搜索就会触发Xss2 a7 g* [2 d& Y& |$ k* B
0 V; i2 ?) ]" t3 Z* n

% Y) E+ ^3 f0 F' @: K/ |[attach]277[/attach] : U4 {/ ?+ h  p9 ~
4 v6 e: l2 h, M7 Q& n

' D" U( G+ _* h6 C8 A7 H* G( u, {5 t1 _% @
写入Xss代码的地方一处都没有过滤！8 j% r. Q  S) b" D  \+ m8 G7 K  |

* S% k9 u, Y, V
$ A9 Z, I) o  P5 ~! o/ ]6 X
. Q8 ^9 {; O" m% y
/ J, P5 A9 G2 y: C4 J
# k3 t' |2 _& a7 H) O4 e* [2 \0 P' v( S1 s
; H, P7 u! |- c, L; \9 v

, s, a: }" J8 k' Y7 n1 k
# Y) y, _5 m) l, S5 z( X[attach]278[/attach]
- n# I' b/ n! c% T+ ]) H; e7 _$ T1 Z

0 t9 L4 N* j) ^; e% X1 X8 J2 E' b  U0 u/ W5 @" `: c
' F9 w; w* L: N( P$ v9 G( x6 c
[attach]279[/attach]$ v" r9 v( Q. U; f

: Q) e+ X: R# H1 Y4 ?[attach]280[/attach]
* F: H/ X6 G0 n6 P8 r. Q9 V* ?! u" ~
% w; t7 L( @6 ]" R5 x! E2 L' o9 |3 V5 F8 Y

! \% U3 p0 K+ y2 M+ n! I* [3 l" X; b4 ?! m! B& l( q$ V2 f. P( ?
; c$ y/ j# V+ w: a% Q
修复方案：1 l7 X8 a4 @: ?# Z

% L8 Q6 w: K1 N过滤，转义。
/ P( y7 V* I  g) l9 ?+ @8 @8 Q4 d2 y7 ]" N

& V% ~) x) w( @$ X$ Y4 }4 O0 d) l) x" w& e, c6 \  ^5 b
9 v$ g# T: v+ V1 [2 s2 X% m
/ x( [% h4 B0 Z3 X

6 f5 O4 z/ d' ^( n' V



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2