百度贴吧iPad版持久型XSS及修复方案 - 网站安全

这几天没在家，不能用电脑，于是意外发现了这个o.o

因为没用电脑，所以插图什么的很麻烦。所以就不插图了。

 

用iPad登陆贴吧，所有回复的内容都没编码。

 

于是直接发＜img>就是图片，发＜script> <style>.......所有都有效果。

 

但是要在iPad版里看，才这样。 

http://tieba.baidu测试数据/p/2508389458

 

用pad版进入这贴，加载完毕后就会关闭。

 

我是直接发的这个：<script>window.close()</script>

 

 

 

这个完整的DIV都是用户输入的。

 

修复方案： 编码？ 

 

查看更多关于百度贴吧iPad版持久型XSS及修复方案 - 网站安全的详细内容...