某app客户端xss盲打后引发的一系列问题

没乌币上不了社区。。给点乌币好进社区。。。很久没进去了，也没时间挖洞。。。

记得努比亚圣诞还是元旦搞活动，1999抢z9max，特地去下了努比亚商城这个app，然后抓包分析，心急火燎地写了个自动抢的小程序，后来因为其他原因没抢到。。就无聊在app处盲打了个xss code

然后石沉大海。。。。

本来以为是过滤了，赞一个，可谁知是没人去看。。可见客服效率啊。。。。。

今天也是没事做登自己的XSS Platform发现在2月25日收到了cookie，

当时的反馈是去年12月份发的，到今年2月份才有人看。。我想说呵呵。。

拿到了cookie就进入了后台管理系统。。发现有很多有趣的东西。。。

把员工的姓名和邮箱都打码了。。。

应用管理这里有很多东西，在应用升级里发现了强制更新，要是传个马儿然后把这个勾上不知道有多少台手机成为肉鸡啊。。。特别是这个仅供内部下载测试，可对内部进行渗透。。。当然我没那么做。。太耗时间和精力了。。。。

最后说说如何getshell吧

有很多地方可以上传。。。但是上传了找不到最后上传的地址。。最后在用户宝典的玩机手册处，图片上传后可以在指定机型里找到图片的地址

加一句话，上传处只对本地进行了后缀的判断，在服务器处没有进行判断，所以很容易就可以上传shell

服务器好像杀掉了我的大马，最后我只上传了个菜刀，连接的时候还是要带cookie的。。。

菜刀连接。。

数据库配置文件

修复方面自己去对照着这几个问题改去。。。

本来想买个z9max的，后来看了这些就放弃了。。呵呵。

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2016-03-06 12:51

厂商回复：

感谢提交

最新状态：

暂无