漏洞概要 关注数(38) 关注此漏洞
缺陷编号: WooYun-2014-68532
漏洞标题: 赶集网手机弹窗执行xss指谁打谁
相关厂商: 赶集网
漏洞作者: ling
提交时间: 2014-07-15 00:02
公开时间: 2014-08-29 00:04
漏洞类型: XSS 跨站脚本攻击
危害等级: 中
自评Rank: 10
漏洞状态: 厂商已经确认
漏洞来源:www.wooyun.org ,如有疑问或需要帮助请联系
Tags标签: 存储型xss XSS xss黑盒测试技巧
漏洞详情
披露状态:
2014-07-15: 细节已通知厂商并且等待厂商处理中
2014-07-15: 厂商已经确认,细节仅向厂商公开
2014-07-25: 细节向核心白帽子及相关领域专家公开
2014-08-04: 细节向普通白帽子公开
2014-08-14: 细节向实习白帽子公开
2014-08-29: 细节向公众公开
简要描述:
赶集网手机弹窗,指谁打谁
详细说明:
漏洞证明:
过程是证明。
修复方案:
过滤一点。
版权声明:转载请注明来源 ling@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:10
确认时间:2014-07-15 10:46
厂商回复:
感谢洞主的帮忙。漏洞修复中。以后如果遇到乌云审核不通过的漏洞,可以直接发给我们邮箱c2VjdXJpdHlAZ2FuamkuY29t
最新状态:
2014-07-25:学习美团,好榜样 '我爱乌云' == 'security at ganji.com'
漏洞评价:
对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
评价
-
@Mosuan 我吃多了没事干天天测存储xss。我直接和你说吧,我们的xss一堆堆的(差不多每个厂商都是这样),随手抓到处都是,根本修不完。我们现在都只把精力放高危漏洞上。我们不像你们白帽子,天天吃多了没事干去挖xss。 你们天天也无聊的刷两个xss刷rank装逼,有什么意义,一个sql注入就算是盲注,意义对我们厂商来说都顶得过十几个存储xss,顶得过几万个反射xss。 然后天天来刷xss,还有那个ling,发的还是个self xss,就想球礼品,不知道现在的白帽子是什么心态。 不明白厂商的情况,还要来说三道四。 举个简单的例子,xsser在百度混了这么久,百度的xss解决了么 疯狗在新浪混了这么久,新浪的xss解决了么 两个业界元老大厂商都解决不了的问题,你跑来和我说我没有安全意识。 我想说,就算你来,你一天挖了100个存储xss,业务一天能制造几千个存储xss,你找得再多又有个屁用。
16# 回复此人 -
@xsjswt 对于XSS 我不知道是你自己的价值观还是赶集网安全部门的价值观,我实在想不通一个以用户交流为中心的网站,xss的地位会这么低。我看了下你自己的漏洞也有不少XSS的,如果你自己觉得XSS没价值那你挖它干嘛?再说了 有没有价值是你说了算么?对于你xss挖不完的言论,我想说的是安全本来就没有绝对,如果挖不完就不挖了 那还干什么安全?还有 你说你一天挖100个 业务一天生产1000个。这是别人的问题吗?开发不懂安全你们懂,你们不给开发培训,不给业务开发规范,现在还怪业务写的代码问题多?业务自己能搞定安全问题要你们安全部门干嘛?开发要能自己麻溜儿过滤输入点 要你测毛线注入。对于你对白帽子的态度,你自己也是白帽子,你很清楚一个漏洞的发现(扫描行为除外)需要时间运气技术,不管技术高低时间长短,付出都在那里。白帽子替你收拾烂摊子你凭什么说三道四挑肥拣瘦?牛逼你就忽略别修,要修漏洞就乖乖当孙子。当X子还立个牌坊给谁看啊。别拿厂商难处说事儿,家家有本难念的经,缺人?缺设备?缺执行力?这是你们自家的事儿,你自家解决不好还怪白帽子,你都出来要饭了还怪饭不合口味?什么逻辑?,我只能说你是不是被迫害妄想症啊,谁都欺负你了是不 就你可怜是不,白帽子做错什么了?乌云做错什么了?你个人认为没价值的漏洞别人就得听你的了?尊重是相互的,如果那些言论代表的是赶集安全部门的脾气,那我没话说。如果是你个人的脾气,麻烦憋着点。瞅着眼睛疼。
32# 回复此人 -
@xsjswt WooYun: 小米某分站的XSS一枚 这个漏洞是你提交的小米的xss,然后简要描述位置是这样的,“简要描述: 小米某分站对参数过滤不严,可以导致XSS。 球小礼品”,这是赤裸裸的自己打自己脸的节奏么?
34# 回复此人 -
@xsjswt 这位兄台,XSS是WEB类普遍存在的一种现象,如果你觉得,xss问题的存在没有意义!那么,只能说明你没有深入了解xss。不管是什么类型的漏洞,如果你能把它最大化,这就说明所存在漏洞危害的意义。像你质疑乌云上,xss问题现象。只不过有部分人,本着xss容易上手(简单的alert(弹窗);),或许,本着白帽定义 或想刷点rank, 把一些厂商存在简单弹窗的xss发布到乌云上。发布xss的白帽子,不一定只会弹窗,或只会弹窗。 你可以统计下,自2013年到现在乌云上都是那些厂商被白帽子发现存在xss。不喜欢xss的厂商,个人等都可以统计下。因为这些喜欢xss的白帽子,使手机APP厂商(91,腾讯)、邮箱平台、获得很大收益,到现在一些厂商主流业务XSS越来越少,这些足以证明XSS的危害性。 奉劝你,不会玩XSS就别出来乱叫。
54# 回复此人
评论