雪球网后台xss漏洞盲打

2012-8-28 10:13:35 来源:网络转载 浏览:464
雪球网最新漏洞公开:雪球网后台xss漏洞盲打。

简要描述:
某人说,当你股票赔了三分之一的时候,你就会知道雪球网是干什么的了。。。
我没赔三分之一,我现在也知道他们是干什么的了。。。


详细说明:

雪球网是一个较为封闭的股票资讯sns社区,注册必须通过邀请或者比较严格的审核机制,一个xss就解决了所有问题。
注册雪球会有一个简介表单,也许会存在xss问题,直接写好简单的存储型xss代码盲打过去

雪球网后台xss漏洞

【图一】
等了一会后,即会得到cookie

雪球网后台xss漏洞

【图二】

漏洞证明:
劫持这个管理员

雪球网后台xss漏洞

【图三】

雪球网后台xss漏洞

【图四】
刷几个邀请码

雪球网后台xss漏洞

【图五】

雪球网后台xss漏洞

【图六】

修复方案:
转义啊。

(0)
(0)