漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013147
漏洞标题：让你的人人首页弹起来
相关厂商：人人网
漏洞作者： zzR
提交时间：2012-10-09 11:28
修复时间：2012-11-23 11:28
公开时间：2012-11-23 11:28
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-09： 细节已通知厂商并且等待厂商处理中
2012-10-09： 厂商已经确认，细节仅向厂商公开
2012-10-19： 细节向核心白帽子及相关领域专家公开
2012-10-29： 细节向普通白帽子公开
2012-11-08： 细节向实习白帽子公开
2012-11-23： 细节向公众公开
简要描述：
人人网新增表白功能^_^
详细说明：
由人人网某个残忍的功能引起的
1·首先看人人旗下车问网一个存储xss
2·本来只在车问网跨一跨，后来发现了一个特别残忍的功能
能够将这个问题发送到当事人人人主页的新鲜事，这下就有了
我让我朋友看了下，自动的那个弹呀
跨域了哦，人人网的域哦
漏洞证明：
至于利用嘛：盗cookie，跨妹子、哥哥啥的都不重要，我觉得比较靠谱的利用就是向某些妹子或者基友表白啦：到处弹('XXX我老中意你了！')，哈哈
修复方案：
大神说了xss就是能做xss的事呀，哈哈
风神，抱歉啦
版权声明：转载请注明来源 zzR@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2012-10-09 11:34
厂商回复：
thx!
最新状态：
暂无
漏洞评价：
评论
-
XSS小王子
-
@风萧萧 哥！！！！！！！！！！！！
-
@风萧萧 跨站不来分咋办哪，必须要跨GG、MM，蠕起来才来分啊
-
@zzR 分不重要啊，关键是没礼物哎！
-
@风萧萧 我要分哪，礼物给你，和你换哪-0-
-
@px1624 从chewen.com 跳到renren.com 的
( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)