文档章节

青果教务管理系统存储型XSS 一枚

___Null
 ___Null
发布于 2014/06/18 21:20
字数 263
阅读 1577
收藏 2
  1. 背景

    期末(被逼)评教时发现校网xss一枚,反正给学校反映了也没人管,

  2. 效果


    直接爆菊,至于怎么利用。。。。啊哈哈哈  对吧 大家都懂的。

  3. 分析

    教学评价用了一个文本域,后台对提交的数据做了一个简单的过滤,反正提交类似<script>之类的标签会提示非法字符,最后我用比较脑残的方法,在里面输入</textarea>闭合标签。然后就ok了

     </textarea><img onerror="javascript:alert(document.cookie)" src="111"><textarea>

             评论框输入上面的代码就可以触发了,但是后面会多出来一个文本域和图片,应该用css可以隐藏起来。

  4. 修复

    1、严格过滤用户输入,特殊符号进行转义处理, 2、给cookie加上httponly属性也能在一定程度上防止xss危害。 另外教务系统相对封闭应该不会造成太大的安全威胁。

© 著作权归作者所有

共有 人打赏支持
___Null
粉丝 16
博文 16
码字总数 7322
作品 0
珠海
程序员
如何通过入侵老师邮箱拿到期末考卷和修改成绩

先声明=。=,这个漏洞是无意中发现的,我只是验证了它可行了,但是最后是没有干坏事的,否则被发现会被退学的=。= 另外就是目测很多高校的邮箱系统都有这样的漏洞(因为感觉以前的邮箱系统都...

WhyLiam
2012/12/27
0
3
UFT入门教程(5)—自定义检查点及模块化

综合练习二 知识点 自定义检查点 模块化脚本(将action分为多个sub,再将函数添加到函数库,然后关联函数库) 要求 测试工具:UFT 被测网站:西科大教务处 内容:覆盖知识点,测试教务处登录...

iBazinga
2016/09/18
21
0
xss攻击的初步了解

什么是XSS攻击 XSS又叫CSS (Cross Site Script) ,跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意HTML代码和客户端脚本,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而...

凡尘里的一根葱
2015/12/02
61
0
【Sql Server】3.管理数据库

一、数据库组成 表、视图(对多个表中的数据进行组合)、存储过程、触发器、用户与角色(在‘数据库xx/安全性’下)、其他数据库部分 二、使用管理工具创建数据库 1. 运行Microsoft SQL Ser...

Jannie_xx
2014/05/23
0
0
摩码创想/云教务

#云教务 软件名称 云教务学校管理系统源码 云教务开源管理系统 云教务开源系统 MoMA云教务管理软件 云教务开源软件 云教务教育机构管理系统源码 云教务培训机构管理系统,云教务系统源码,学...

摩码创想
2017/05/28
0
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

SpringCloud SpringBoot mybatis分布式Web应用的统一异常处理

我们在做Web应用的时候,请求处理过程中发生错误是非常常见的情况。Spring Boot提供了一个默认的映射:/error,当处理中抛出异常之后,会转到该请求中处理,并且该请求有一个全局的错误页面用...

itcloud
17分钟前
0
0
c++ std::bind和std::function

定义于头文件 <functional> std::bind 函数绑定,https://zh.cppreference.com/w/cpp/utility/functional/bind // bind 用例#include <iostream>#include <functional> // 自定义的一......

SibylY
20分钟前
0
0
SecureCRT的安装与破解(过程很详细!!!)

SecureCRT的安装与破解(过程很详细!!!) SecureCRT的安装与破解(过程很详细!!!) 使用SecureCRT可以方便用户在windows环境下对linux主机进行管理,这里为大家讲一下SecureCRT的破解方...

DemonsI
24分钟前
0
0
介绍几款可用的web应用防火墙

目前有两款,基于软件和基于应用程序的web应用防火墙。基于软件的产品布置在Web服务器上,而基于应用程序的产品放置在Web服务器和互联网接口之间。两种类型的防火墙都会在数据传入和传出web...

上树的熊
31分钟前
1
0
用Visual Studio开发以太坊智能合约

区块链和以太坊 自从我熟悉区块链、以太坊和智能合约以来,一直失眠。 我一直在阅读,阅读和阅读,最后我能够使用一些工具,他们建议使用以太坊网站官方客户端应用程序(Ethereum Wallet)也...

geek12345
33分钟前
1
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部