蓝玥 發表於 2012-6-27 14:36:24

百度知道漏洞之存在反射型XSS的分析与解决方法

&lt;漏洞存在的产品对象&gt;<br />百度知道<br />&lt;危害&gt;<br />百度知道存在反射型XSS,可以做诱惑点击导致蠕虫。<br />&lt;重现方法&gt;<br />http://zhidao.baidu.com/utask/qb/info?callback=&lt;script&gt;alert(/xss by cc/)&lt;/script&gt;<br /><img alt="" src="https://img.jbzj.com/file_images/article/201206/2012062714365218.jpg" /><br /><br /><img alt="" src="https://img.jbzj.com/file_images/article/201206/2012062714365219.jpg" /><br />&nbsp;<br />&lt;修复建议&gt;<br />1.加强过滤。<br />2.JSON接口存在风险：<br />JSON接口需要设置Content-Type 添加：header('Content-type: application/json');<br />这样即使JSON接口存在跨站漏洞，攻击者也难以利用。
頁: [1]
查看完整版本: 百度知道漏洞之存在反射型XSS的分析与解决方法