新浪微博微女郎存储型XSS及修复 - 网站安全 - 自

新浪微博微女郎社区回帖存储型XSS，什么都木有过滤。

本地检查字数多少，没有做服务器检查，轻松绕过100字的限制。

直接插XSS代码你懂的~~~

例子，http://vgirl.weibo测试数据/bbs/view_topic.php?tid=3136&vid=10 第11个回复(不排除有被管理删掉的可能) 1、随便写点东西，提交同时截包。

2、直接在content中的文字后面跟上跨站代码

3、直接弹窗

4、审查元素，跨站代码托托地在里面~

修复方案：服务端检查字数是否>100字

净化输入、过滤输出~~