漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-050669
漏洞标题：人人手机客户端存储型xss可跳转钓鱼
相关厂商：人人网
漏洞作者： 一剑萧寒
提交时间：2014-02-11 18:05
修复时间：2014-02-12 12:28
公开时间：2014-02-12 12:28
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-11： 细节已通知厂商并且等待厂商处理中
2014-02-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
人人手机客户端存储型xss可跳转钓鱼。
详细说明：
依然是<a>的xss，很简单，发个状态就可以钓鱼。
首先看一下人人客户端版本：
为了测试是否是self-xss，我特意选用了两个账号。发状态的账号随意了，用电脑或者手机客户端都没有影响，为了方便就在电脑上发状态了。
第一条状态：
很明显，网页版才不会出现xss呢。
当我用手机客户端登陆另一个账号（右下角有头像，是大号），可以看见好友"王尼玛"的这条状态，完全没有过滤，是个链接
打开后果断跳转~
这时候换做百度的链接，王尼玛再发一条状态：
嘿，百度没有出来，取而代之的是"查看链接"，大概是合法的url就会显示"查看链接"，不合法的话就直接给出链接
点进去看看，完全不妨碍跳转啊~
漏洞证明：
修复方案：
过滤吧~另外求小礼物啊~
版权声明：转载请注明来源 一剑萧寒@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-02-12 12:28
厂商回复：
无影响。只是一个跳转，需用户触发，感谢关注！
最新状态：
暂无