漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-068818
漏洞标题：某网贷平台xss跨站
相关厂商：和诚德在线
漏洞作者： 铁汉
提交时间：2014-07-17 11:08
修复时间：2014-08-31 11:10
公开时间：2014-08-31 11:10
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-17： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-31： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
用户名直接暴露，站内信未做任何过滤，导致可以xss站内指定的任何用户。
详细说明：
用户名直接暴露，站内信未做任何过滤，导致可以xss站内指定的任何用户。
域名：http://www.wangdaizhibao.com
第一步，先注册。
第二步，当然是登录啦。
第三步，首先看看这种站里面有没有站内信或者评论功能，优先看站内信，因为容易被忽略。中小型网贷平台一般技术员都不强，所以这些地方基本会漏掉。
第四步，找用户名，看看能给谁发信息。
由于投过网贷，懂得投资流程，所以先找成功的标，看看能不能找到用户名。
这个平台技术员，应该没什么安全意识吧？
用户名什么的，都暴露出来了。
连ID 跟用户名都有.. .. .. .
好了 开始x它吧。
这里自己搭建的xss平台域名就不放出来了，用ccav代替的。
cookie到手。
额外说明一下，这个平台除了xss之外，还泄露了用户敏感信息。
要是用户打**号，以及隐藏ID，那我想找指定的人xxx,估计也要费很多时间。
漏洞证明：
修复方案：
对任何输入框都进行过滤，并且给用户名打几个**号，还需要把用户ID隐藏掉。
版权声明：转载请注明来源 铁汉@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝