实战|记某众测存储型xss漏洞小tips

原创作者：瓜皮辰.」，授权转载于CSDN。

原文链接：https://blog.csdn.net/Guapichen/article/details/122850372

0x00前言

最近参加冬奥值守很无聊，闲着没事帮朋友挖一挖众测，碰巧遇到个存储xss，算是一个凑洞的小思路，记录下过程（漏洞均已提报并修复）。

0x01开冲！！！

先注册个账号

大家想一想哈，一般能够记录用户可控信息的地方是哪，应该是用户名、个人介绍等地方吧。

这里也是在简介处进行初步探测，个人比较喜欢先用《h1》标签去探测下。

很不幸运，尖括号实体化编码了，一般大家测试到这就不会继续去测了吧。

没错，我也不打算继续测了。

但是思考了一下，是不是将这些数据写进了某个接口，然后其他地方使用的时候会调用这个接口呢，这个接口会不会解析html代码呢，会不会没有实体化编码呢。

带着这些问题我深入的去观察了下流量包，在网页上到处点了点，观察存在我这个用户信息的流量包。

苍天不负有心人啊，在burp流量历史记录里找了没多久就发现这个关键数据包了

访问一下这个数据包

稳了，解析了，xss漏洞嘛，不弹窗不舒服，整一个！

此处还有个越权查看姓名、身份证的给了个高危，1500块钱到手，下班（兄弟们，别叫我大水货了，真心挖不到有质量的漏洞，我会想办法提高文章质量的😭😭😭）。

加个好友

推荐阅读

欢迎 在看丨留言丨分享至朋友圈 三连

 好文推荐  

内推 | 2022年HVV招聘
实战|后台getshell+提权一把梭
一款图形化红队渗透工具
红队快速打点工具
实战|记一次艰难的外网打点
一个红队知识仓库
实战|记一次文件上传绕过
常见漏洞安全攻防知识库
红队信息搜集工具（附下载地址）
实战—某医院管理系统Getshell
CobaltStrike上线Linux

原文始发于微信公众号（乌雲安全）：实战|记某众测存储型xss漏洞小tips