漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-044774
漏洞标题：中国产权交易所存储型XSS，导致泄漏用户举报信息
相关厂商：中国产权交易所有限公司
漏洞作者： 0x004er
提交时间：2013-12-03 11:56
修复时间：2014-01-17 11:57
公开时间：2014-01-17 11:57
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：13
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-03： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-01-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
在此站点里，通过测试，发现众多插如XSS脚本的地方，有存储型的，也有反射型的，通过跨站，可以得到用户举报的一些敏感信息，希望贵站可以加强防范
详细说明：
1.此站里，各种XSS问题都存在，首先，在主页中的搜索服务中插入XSS代码。点击搜索就会弹窗。见图。
弹窗：
2.另外一处存储型XSS问题，这个比较严重，可以泄漏用户的举报信息，这个地方在网站首页最下方的“
监督投诉”里，打开后，留言、
插入：
3.然后就会获取到了网站的敏感信息，见图，并且暴漏一些敏感信息！.
漏洞证明：
打开获取到的敏感信息地址：
可以看到：
修复方案：
介意贵站管理员:通过以下的方法，修复问题，加强网站安全！通过最大程度的减少来自跨站脚本攻击XSS的威胁。
1.不可以信任用户提交的任何内容，首先代码里对用户输入的地方和变量都需要仔细检查长度和对”<”,”>”,”;”,”’”等字符做过滤；
2.避免直接在cookie中泄露用户隐私，例如email、密码等等。其次通过使cookie和系统ip绑定来降低cookie泄露后的危险。这样攻击者得到的cookie没有实际价值，不可能拿来重放
3.尽量采用POST而非GET提交表单
版权声明：转载请注明来源 0x004er@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝