Discuz! X3 最新两个存储xss - 网站安全 - 自学php

第一个：

Discuz! X3 个人空间 -- 装扮空间处 开始 自定义 文字颜色处 构造语句exp/**/ressi/**/on:alert(document.cookie) IE 下触发 ，目前测试 浏览器 IE 6、7 

 

 

修复方案： 过滤，剩余那几个参数背景颜色、连接颜色都要过滤 

第二个：

登入帐号一：

 

 

 

游戏板块 ：首页--游戏公告--游戏资料--交流讨论；邀请好友加入网页游戏；发送一个网页邀请--附加信息 内输入"><iframe onload=alert(document.domain)>，这时候会弹框是外域的，没有用处，将以上消息发送给帐号二

 

 

 

登入帐号二：

 

点击消息提醒的页面，当前域触发xss；或者登入帐号直接触发

 

 

 

可指哪打哪，获取cookies 

 

 

 

修复方案： 过滤 

 

查看更多关于Discuz! X3 最新两个存储xss - 网站安全 - 自学php的详细内容...