漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025073
漏洞标题：脚本注入IFRAME钓鱼
相关厂商：人人贷
漏洞作者： 欧阳天天
提交时间：2013-06-03 16:28
修复时间：2013-07-18 16:29
公开时间：2013-07-18 16:29
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：13
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-03： 细节已通知厂商并且等待厂商处理中
2013-06-03： 厂商已经确认，细节仅向厂商公开
2013-06-13： 细节向核心白帽子及相关领域专家公开
2013-06-23： 细节向普通白帽子公开
2013-07-03： 细节向实习白帽子公开
2013-07-18： 细节向公众公开
简要描述：
存在脚本注入IFRAME钓鱼漏洞
详细说明：
站内信功能脚本注入IFRAME钓鱼
可以诱使用户输入用户名密码
漏洞证明：
过滤了<img><iframe><script>
但是过滤的方法是用取标签的方式么
是不是自己写的解析啊 不是很健壮
用html实体可以突破
我发下截图
被过滤的
没被过滤的
被钓鱼的用户接到私信
修复方案：
过滤了<img><iframe><script>
但是过滤的方法是用取标签的方式么
是不是自己写的解析啊 不是很健壮
P.S说点儿题外话
人人贷的技术在我试攻击的时候第一时间给我打来了电话，说是后台监测到攻击了，询问我是如何注入的
先澄清本人只是从事相关行业，抱着学习的目的，并没有想攻击的意思
人人贷的安全做的不错，或者说是技术实力不错，听说你们那有几个微软的大牛哈
其实我之前试着在论坛拿COOKIE，结果被技术人员发现了，貌似现在改成IP鉴权了啊
那个rrd_key我反解了一下最后一位是X-FORWARDED-FOR里取的IP吧
涉及到钱的公司确实应该更重视安全，希望你们的技术继续努力，加油
版权声明：转载请注明来源 欧阳天天@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2013-06-03 16:46
厂商回复：
感谢 欧阳天天 发现的问题，我们正在积极修复。
最新状态：
2013-06-20：已修正。