漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-015294
漏洞标题：盲打 110.com 官网
相关厂商：110法律咨询网
漏洞作者： 钱途
提交时间：2012-11-27 11:50
修复时间：2013-01-11 11:51
公开时间：2013-01-11 11:51
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-27： 细节已通知厂商并且等待厂商处理中
2012-11-30： 厂商已经确认，细节仅向厂商公开
2012-12-10： 细节向核心白帽子及相关领域专家公开
2012-12-20： 细节向普通白帽子公开
2012-12-30： 细节向实习白帽子公开
2013-01-11： 细节向公众公开
简要描述：
我也就测试下。没想到 他真有。我真不是有意的
详细说明：
110官方网站存在严重的 XSS漏洞。 可以导致 整个网站所有律师 用户全部沦陷！·
当用户可以提出指定的律师咨询问题。你可以发送问题过去。 发送的问题。是不允许插入盲打代码的。 但是当你提交了问题以后是可以进行修改标题的。 那么漏洞就出现了。 如下看图。如果一直下去 全站都会沦陷。别人立刻吧盲打代码删除 修改成了 11111 下面有图
漏洞证明：
修复方案：
你比我懂。但是我真不是故意的
版权声明：转载请注明来源 钱途@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2012-11-30 17:46
厂商回复：
CNVD确认漏洞情况（时间关系未直接复现），已由CNVD通过网站公共联系渠道通报网站管理方处置。
按部分影响机密性、完整性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1（典型盲打），涉及行业或单位影响系数1.3，综合rank=9.180
最新状态：
暂无
漏洞评价：
评论
-
搞大了
( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)