和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全

时间: 2020-10-10｜tag： ｜66次围观｜0 条评论

#1 造成原因与危害：        由于没有过滤用户提交的数据，导致用户可提交恶意代码而被执行，由于微博的扩散能力极强，对收听者可谓是极强的杀伤力，既造成蠕虫型XSS。       #2 漏洞存在处：         在微博的投票处，没有过滤任何非法字符，导致我们可以填写xss代码.   和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全插图   <code>本次测试主要使用A、B两个微博帐号，B收听了A的微博。由A在投票处发起投票填入恶意的XSS代码，也可以@B 帐号，B帐号打开微博首页，A的投票动态显示在B的主页头条，B则被XSS了。如下图：  
和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全插图1
和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全插图2
和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全插图3
  窃cookie: 和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全插图4 修复方案： PS：XSS的利用方法很多，自行研究、
    上一篇： 文曲星企业邮箱任意文件读取&SQL注入 - 网站安

    下一篇： 科普：XXE注入攻击与防御 - 网站安全 - 自学php
本博客所有文章如无特别注明均为原创。
复制或转载请以超链接形式注明转自起风了，原文地址《和讯网微博蠕虫型XSS,可窃用户Cookie – 网站安全》
　 　

还没有人抢沙发呢~