中国网络渗透测试联盟

标题: 经纬网xss [打印本页]
作者: admin    时间: 2013-11-6 18:02
标题: 经纬网xss

; f1 ?$ x* a- F6 y- a
本帖最后由 Lightly 于 2013-10-26 21:56 编辑/ |9 ^" l( w* o

( g- D9 B* T6 y6 S漏洞[/url]先要注册一个新号：
8 `0 n6 H5 M7 r! W- M名字写成名人的，这样子在用户推荐处还有搜索就会触发Xss
9 |/ L6 r* O  }6 N6 p
/ L0 L# s6 z% r0 ?5 z) g! L
! I5 D; v- p$ i6 {[attach]277[/attach] & H& _: c8 z' B9 C
( g9 z% f  D& m2 K5 ]! j. ~
* ^7 s+ v. r1 o5 j
+ W3 R- m/ w/ w, S+ |/ |
写入Xss代码的地方一处都没有过滤！& C4 Y# w% o: |! u9 Q& k
/ f& V. h9 N* s$ D: P* B: z
& S' P- \6 O/ a. a

* t6 ^* o5 N' @* h" @' z( @" j
) j" I0 W& j+ X3 K3 y7 f% b$ c9 r2 X: `$ a0 b) L* U6 ~$ R
( V; `/ m& B2 F
7 q* O6 ~4 v2 z9 K) W

0 E. M! F3 a) B# P( D, s+ d( e& x' I5 M& ~& l% }
[attach]278[/attach]2 C) M$ G& O& {( s) j
* p5 N1 Q: V, V% q
; n; V" I2 P9 |" J6 x8 J
8 d; p. M6 T' O" ~
, J, h5 P4 n7 q3 H' w
[attach]279[/attach]3 c3 Z: S! T8 |2 v; S# I2 D
. E5 L# [( v0 ^
[attach]280[/attach]
0 @9 Q1 f! A: `3 H) n
+ ]8 n# `. v4 W: t% T! y
7 \6 B  I5 H! b3 W
$ U) H2 Q+ V" C9 y7 T5 L7 h3 |* L( y) ]% v4 j

3 Z8 B; q* f+ s- S修复方案：
0 ~5 P3 \6 d3 J  g( p
( I/ K& O! L  a& B7 A7 o过滤，转义。
. @9 n; ?9 H, ^! L( N. F- C
& R& j) a& D, |& O1 R7 c  L1 h* @) Y; @/ U6 h

5 F, s6 E! t! U" Y7 X6 p: w! U, e( D5 m, S4 W% b, |. N
4 I( w+ P% z: z: b7 w  v, ]+ z7 @

; \) B# \. n4 R: p, e5 C, _6 p/ t



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2