图虫网存储Xss泛滥,Xss-worm一促即发 - 网站安全

http://tuchong测试数据/273329/albums/

http://tuchong测试数据/273329/albums/277850/3361539/

http://tuchong测试数据/273329/albums/277850/3358396/

第一个:相册名字没有转义

第二个和第三个:图片名字没有转义。还有标签能随便修改能跨域。 http://tuchong测试数据/273329/3368202/

标签修改 post_id=3368201自己修改

 

最该死的是小组地方

http://tuchong测试数据/groups/ 小组是随便能进的,进去发个图片或者分享个图片。。。（你懂的，不用审核的)   修复方案： 全部转义。 设置好粗心改标签的地方。 求个礼物

查看更多关于图虫网存储Xss泛滥,Xss-worm一促即发 - 网站安全的详细内容...