腾讯论坛漏洞，快进来围观。该怎么处理
日期：2014-05-17 浏览次数：20620 次
腾讯论坛漏洞，快进来围观。
http://sobar.soso.com/t/88488251?from=CSDN&url=Amysql.com&thisis=创新&BY=CSDN.net
蛋疼的腾讯过滤明显有问题，如果想……，你懂得拉。
上面那网址各位可以改后面的参数值玩玩，……
最后我写的MySql管理系统AMS 会在5月1发布哈，
希望各位多多支持，有什么新消息首发这里哈。
http://amysql.com
------解决方案--------------------
呵呵 连iframe都没过滤掉
检测参数生成js，lz把tx.php发出来给大伙瞧瞧吧
------解决方案--------------------
哇哈哈，的确太弱了
------解决方案--------------------
很无语！
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<html>
<head>
<title></title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</HEAD>
<script>
var thisis = "\u521b\u65b0";
var from = "CSDN";
var BY = "CSDN.net";
alert("尊敬的" + from + "用户您好。\n\n我是马总，\n在这里我代表我公司--国内唯一跑在" + thisis + "前沿的腾讯科技对" + from + "广大用户表示最诚恳的问候。\n\n对于近段三石哥强烈谴责我、说我抄袭他的手机客户端APP, 我表示相当的无语啊，这都叫抄袭，这不是坑爹么。\n\n在这里我得声明一句，这不是抄袭……\n");
alert('这是叫：大量' + thisis + '!' + "\n\nBY:" + BY);
parent.location='http://amysql.com';
</script>
<BODY>
</BODY>
</HTML>
------解决方案--------------------
我不认为这是漏洞
如果是在页面中执行了用户写入的 js 代码，那可以说是漏洞
如果用户写入的 html 代码造成了页面显示不正常，那也可以说是漏洞
执行了用户的插入式框架，不能说是漏洞。用于 js 不能跨域，所以框架中的代码不会对页面产生威胁。相反可以使页面增色不少
更何况，效果是在客户端产生的，并不对服务端构成威胁
------解决方案--------------------
------解决方案--------------------
------解决方案--------------------
#24 不会吧
------解决方案--------------------
跨站脚本。。。。。。。。。。。
------解决方案--------------------
不是XSS吗，页面能运行你自定义的js代码，那你很有机会偷取浏览你这个页面的用户的cookie信息。
------解决方案--------------------
------解决方案--------------------
说到最后是可以用来引流量
------解决方案--------------------
大湿怎就不和谐了，说着说着就跑了，还想听你讲解呢
------解决方案--------------------
你是怎么测试出来tx的bug的啊
------解决方案--------------------
http://sobar.soso.com/t/88488251?from=CSDN&url=Amysql.com&thisis=创新&BY=CSDN.net
蛋疼的腾讯过滤明显有问题，如果想……，你懂得拉。
上面那网址各位可以改后面的参数值玩玩，……
最后我写的MySql管理系统AMS 会在5月1发布哈，
希望各位多多支持，有什么新消息首发这里哈。
http://amysql.com
------解决方案--------------------
呵呵 连iframe都没过滤掉
检测参数生成js，lz把tx.php发出来给大伙瞧瞧吧
------解决方案--------------------
哇哈哈，的确太弱了
------解决方案--------------------
很无语！
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<html>
<head>
<title></title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</HEAD>
<script>
var thisis = "\u521b\u65b0";
var from = "CSDN";
var BY = "CSDN.net";
alert("尊敬的" + from + "用户您好。\n\n我是马总，\n在这里我代表我公司--国内唯一跑在" + thisis + "前沿的腾讯科技对" + from + "广大用户表示最诚恳的问候。\n\n对于近段三石哥强烈谴责我、说我抄袭他的手机客户端APP, 我表示相当的无语啊，这都叫抄袭，这不是坑爹么。\n\n在这里我得声明一句，这不是抄袭……\n");
alert('这是叫：大量' + thisis + '!' + "\n\nBY:" + BY);
parent.location='http://amysql.com';
</script>
<BODY>
</BODY>
</HTML>
------解决方案--------------------
我不认为这是漏洞
如果是在页面中执行了用户写入的 js 代码，那可以说是漏洞
如果用户写入的 html 代码造成了页面显示不正常，那也可以说是漏洞
执行了用户的插入式框架，不能说是漏洞。用于 js 不能跨域，所以框架中的代码不会对页面产生威胁。相反可以使页面增色不少
更何况，效果是在客户端产生的，并不对服务端构成威胁
------解决方案--------------------
------解决方案--------------------
------解决方案--------------------
#24 不会吧
------解决方案--------------------
跨站脚本。。。。。。。。。。。
------解决方案--------------------
不是XSS吗，页面能运行你自定义的js代码，那你很有机会偷取浏览你这个页面的用户的cookie信息。
------解决方案--------------------
------解决方案--------------------
说到最后是可以用来引流量
------解决方案--------------------
大湿怎就不和谐了，说着说着就跑了，还想听你讲解呢
------解决方案--------------------
你是怎么测试出来tx的bug的啊
------解决方案--------------------
免责声明： 本文仅代表作者个人观点，与爱易网无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。
