去哪儿一处存储型XSS漏洞 - 网站安全 - 自学php

在旅途频道，

1、发表一篇游记

2、添加一批图片

3、在图片下方插入文本

4、截包修改，desc参数存在问题。如下：

 

Host: lvtu.qunar.com

Proxy-Connection: Keep-Alive

Cookie: ……

 

 

访问该地址看效果

http://lvtu.qunar.com/mobile_ugc/web/album.htm?albumId=4228#aaa

 

 

 

 

 

修复方案： 对desc参数进行 html 编码

 

查看更多关于去哪儿一处存储型XSS漏洞 - 网站安全 - 自学php的详细内容...