灯火互联
管理员
管理员
  • 注册日期2011-07-27
  • 发帖数41778
  • QQ
  • 火币41290枚
  • 粉丝1086
  • 关注100
  • 终身成就奖
  • 最爱沙发
  • 忠实会员
  • 灌水天才奖
  • 贴图大师奖
  • 原创先锋奖
  • 特殊贡献奖
  • 宣传大使奖
  • 优秀斑竹奖
  • 社区明星
阅读:1793回复:0

Thinksns某SNS功能极品XSS,通杀WEB和IOS客户端

楼主#
更多 发布于:2012-12-13 14:30

在一般能够出问题的地方出现了问题,很正常。正题

在个人主页发表图片的时候,存在不严格的地方,导致了一存储跨站:

图片:20121212110007881.jpg

上传完成,可以看到效果

图片:20121212110008653.jpg

由于看到了这样一个操作会自动发送一条微博到首页,危害程度就瞬间提升了。

于是有了我在首页的忽悠,可以@好友,可以转发

图片:20121212110008339.jpg

表示已经@小秘书和某boss,哈哈,没干坏事。

PCweb cookie:

图片:20121212110009335.jpg

接着我不辞辛苦有试了其ios客户端,效果也是很明显的,

图片:20121212110009839.jpg

IOS cookie

图片:20121212110010371.jpg

图片:20121212110010344.jpg

修复方案:

一个小跨站带来的问题


喜欢0 评分0
游客

返回顶部