漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017456
漏洞标题：人人广告系统任意广告修改&&存储型xss
相关厂商：人人网
漏洞作者： xfkxfk
提交时间：2013-01-18 00:05
修复时间：2013-03-04 00:05
公开时间：2013-03-04 00:05
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-18： 细节已通知厂商并且等待厂商处理中
2013-01-18： 厂商已经确认，细节仅向厂商公开
2013-01-28： 细节向核心白帽子及相关领域专家公开
2013-02-07： 细节向普通白帽子公开
2013-02-17： 细节向实习白帽子公开
2013-03-04： 细节向公众公开
简要描述：
人人广告系统任意广告修改&&存储型xss漏洞
详细说明：
1、人人广告系统中，由于权限设置存在缺陷，可以访问并随意修改任意用户以及企业广告。
2、首先在首页中找到广告的链接，通过分析广告的ID号就在此连接中，如此广告url链接：
3、现在就可以直接访问这个广告了，url地址：
4、对于广告的开启，关闭，删除等操作都因权限问题失败。
但是有一个地方漏了，我们可以修改这个广告，现在可以来修改这个广告试试看看：
5、修改了他的广告名称，每日预算，截止时间。而且不可思议的是，在广告名称中可以直接插入xss，如图所示修改成功：
6、看看源代码，xss code直接插入了：
7、后面就不敢在玩了，因为这些广告都是在首页显示的，修改内容太大会惹麻烦，这是移动的广告，后面就不在深入了，怕人人封我号。。。
漏洞证明：
修复方案：
控制权限，过滤。
版权声明：转载请注明来源 xfkxfk@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-01-18 08:27
厂商回复：
非常感謝！
最新状态：
暂无
漏洞评价：
评论
-
@se55i0n 我也这么想的，可是，还是不敢，人家找上门了怎么办，我是好人、、、
( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)