51Testing软件测试论坛

标题: Yeepay网站安全测试漏洞之跨站脚本注入 [打印本页]

作者: 卖烧烤的鱼 时间: 2008-5-5 11:35
标题: Yeepay网站安全测试漏洞之跨站脚本注入
1 什么是跨站脚本注入
跨站脚本攻击（也称为XSS）指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息。攻击者通常会用十六进制（或其他编码方式）将链接编码，以免用户怀疑它的合法性。网站在接收到包含恶意代码的请求之后会产成一个包含恶意代码的页面，而这个页面看起来就像是那个网站应当生成的合法页面一样。许多流行的留言本和论坛程序允许用户发表包含HTML和javascript的帖子。假设用户甲发表了一篇包含恶意脚本的帖子，那么用户乙在浏览这篇帖子时，恶意脚本就会执行，盗取用户乙的session信息

2 本文作者以Yeepay网站为例,测试过程中发现存在跨站脚本注入情况:
在浏览器打开 http://www.yeepay.com/search/sea ... amp;amp;searchtext=>><ScRd>alert(88888888.8888888)%3B</ScRiPt>弹出如下对话框:

如果恶意用户针对js弹出对话框设置其它数据,会存在用户跳转到其它网站,轻则用户的信息被盗取,重则Yeepay的用户资金可以会丢失,为防止有人利用,所以本文作者将具体的跨站脚本攻击脚本做了修改^_^
Yeepay网站存在类似的漏洞,经本文作者验证还有如下接口:

http://www.yeepay.com/brightangel/jsp/queryAngleOrder.action
http://www.yeepay.com/brightangel/queryAngleOrder.action
http://www.yeepay.com/individualservice/Regist.action
http://www.yeepay.com/mlove/QueryDonateOrderAction.action
http://www.yeepay.com/search/search.jsp
http://www.yeepay.com/selfservice/regist.action

希望早点能解决,呵呵^_^

[ 本帖最后由卖烧烤的鱼于 2008-5-5 11:52 编辑 ]

作者: nana430 时间: 2008-5-5 11:47

应该是yeepay吧，谢谢楼主分享，回头试试

http://www.yespay.com/brightangel/jsp/queryAngleOrder.action
http://www.yespay.com/brightangel/queryAngleOrder.action
http://www.yespay.com/individualservice/Regist.action
http://www.yespay.com/mlove/QueryDonateOrderAction.action
http://www.yespay.com/search/search.jsp
http://www.yespay.com/selfservice/regist.action

作者: lsfforlove 时间: 2008-5-5 11:49
标题: 不错不错
专业化了，偶不懂呀！路过看下了！！！

作者: zhangj8826 时间: 2008-5-5 12:21

作者: wanghua 时间: 2008-5-25 22:01
呀呀，谢谢，谢谢

作者: lilysun0411 时间: 2008-5-29 11:03
学了不少！
谢谢LZ

作者: meng0819 时间: 2008-6-5 12:56
高人。据说最初的黑客就是做安全测试的。

作者: fqs209 时间: 2008-6-8 15:59
测试人员比较恶劣点讲不就是捣乱的吗

作者: cainiaoxiao 时间: 2008-6-13 21:41
好东东。好好研究

作者: lovetesting52 时间: 2008-6-23 16:53

安全性测试是web测试中很重要的一个方面，特别是电子商务网站，可惜的是咱们论坛中关于这方面的知识不是很多。希望对这方面了解得比较多的朋友多讨论一下那方面的知识，先多谢了！

作者: shhuangfy 时间: 2008-6-24 17:16
以前没有接触过这一块，看了楼主说的还是不太懂

作者: fangyiye 时间: 2008-6-26 17:53
不懂，望高手教教

作者: 燕子东南飞 时间: 2008-7-12 13:06
赞同楼上的说法，我前端时间公司让我也做网站安全的相关测试，我一看就傻眼了，希望在论坛中关于这方面的知识大家相互学习一下了

[ 本帖最后由燕子东南飞于 2008-7-12 13:08 编辑 ]

作者: stone-石头 时间: 2008-7-18 18:00
比较复杂，偶想多学习一下这方面的知识！

作者: safecorner 时间: 2008-7-21 11:28
标题: 这个漏洞不会形成攻击
这个是漏洞，但不会给攻击者利用！

作者: 卖烧烤的鱼 时间: 2008-7-21 17:30
标题: 回复 15# 的帖子
呵呵，很难说，我就碰到过让攻击者利用的例子，盗取用户cookie,session信息或是做成类似钓鱼网站

作者: 燕子东南飞 时间: 2008-9-2 10:22
安全测试还在研究中，谢谢。

作者: safeng 时间: 2008-10-4 00:12
本来我是个标准看了不回的人
呵呵，但是看了这个贴子还很新就想说几句

跨站攻击在国内黑客攻击上已经被广泛用到了

其实楼上已经提到了
通过跨站其实可以达到很多目的
如用户cookie 等
这些数据其实对于用于是很敏感的
存在跨站问题也很多
利用的时候还有点社会工程学
因为在很多情况下一般用户信息对于入侵者作用并不大
管理员才是他们最感兴趣的
所以通过论谈或一类交互信息比较多的地方发一些吸引性强的贴子啊一类的信息来引吸管理员来浏览就能达到目的了

具的欢迎大家讨论

作者: 延续精彩 时间: 2008-11-4 11:22
有收获。
LZ你的意思是只要是可写操作的页面都有可能存在安全漏洞吗？

作者: kkk6041 时间: 2008-11-25 13:47
作者如果真的有点技术的话就请把文章写的简单易懂些，别光显摆，如果没技术就别在这丢人了

作者: kkk6041 时间: 2008-11-25 13:49
PS,你的在博客园中的文章90%都这样，有时间的朋友可以看看

作者: 卖烧烤的鱼 时间: 2008-11-25 17:26
标题: 回复 20# 的帖子
你自己看不懂,不要怪别人,我没义务为你这样的人,写的很清晰明白;

作者: 行走在杭州 时间: 2008-11-26 13:07
某次，一小朋友问我，怎么系统装了两个。
我说，你装的时候，先把原来的系统盘格式化掉。
小朋友说不会
我说，你用XP盘进去后，选中你装的那个分区
小朋友说，什么是分区

......

21楼，你觉得呢？

作者: pangda 时间: 2008-12-10 11:03
抱歉，此页面因过期等原因已被删除
我怎么提示这个难道他们改了

作者: chen13 时间: 2009-1-2 12:51

原帖由 延续精彩 于 2008-11-4 11:22 发表
有收获。
LZ你的意思是只要是可写操作的页面都有可能存在安全漏洞吗？

不一定的.你可以在搜索框里输入跨站代码,然后把连接发给被攻击用户.
比如百度的一些跨站，被攻击用户看到网址是 baidu.com 自然放心的点击你发来的连接

作者: lc448589698 时间: 2009-3-13 08:50
lz，多发点安全测试的帖子撒，让我们多学习一下撒

作者: capricorn 时间: 2009-3-24 22:11
N，强人

作者: rrkk001 时间: 2009-4-6 08:24
其实没有什么可利用价值

作者: rrkk001 时间: 2009-4-6 18:57
不要做坏事呀

作者: yy100t 时间: 2009-7-28 11:16

正在研究安全测试谢谢

作者: LIV 时间: 2009-8-2 18:25
进来学习下

作者: 测霸 时间: 2009-8-13 12:21
不错,我的安全测试用例又多了一个~
那请问下楼主,在什么样的网站上容易发生这种XSS漏洞呢?

作者: angela_51 时间: 2009-8-19 10:57
标题: 谢谢分享
收藏一下空了看看

作者: weibo108 时间: 2009-8-20 11:54
没看懂主题是什么

作者: ToBeBest 时间: 2009-8-27 13:22
谢谢！很不错

作者: 5450488 时间: 2009-9-5 19:06
楼主是如何发现这个漏洞的，用的什么工具和技术，期待分享

作者: cannoney 时间: 2009-9-25 16:54
标题: rr
<br>

作者: cannoney 时间: 2009-9-25 16:55
标题: ssss
猪头
猪头

作者: cannoney 时间: 2009-9-25 16:58
搞不定

[[i] 本帖最后由 cannoney 于 2009-9-25 17:06 编辑 [/i]]

作者: cannoney 时间: 2009-9-25 17:00
猪头
猪头

[ 本帖最后由 cannoney 于 2009-9-25 17:21 编辑 ]

作者: cannoney 时间: 2009-9-25 17:00
标题: <textarea>
asads

作者: 樱qq 时间: 2009-9-29 17:34
楼主厉害啊，

关于安全这一块的内容，建议大家看”开车兜风“的贴子，都是经验之谈啊，
我很受教啊，

作者: 0618 时间: 2009-12-21 12:34
谢谢楼主的分享。最近对安全性测试挺感兴趣的，希望多向大家学习。

作者: yy100t 时间: 2010-1-15 16:34

谢谢楼主，最近在做安全测试呢很有用

作者: evergreen_wang 时间: 2010-2-20 13:28
学习中

作者: 赛尚网 时间: 2010-3-28 12:40
很好的文章！
www.sks7.com

作者: afan1688 时间: 2010-3-28 22:34

好东东啊

作者: ym_wei 时间: 2010-6-18 15:11
学习了

作者: 3115702 时间: 2010-9-2 17:53
呵呵测试人员是捣乱的

作者: he_jian 时间: 2010-11-11 21:27
太略写了，看不懂

作者: nieryy2009 时间: 2010-11-25 17:00

不会吧~~ 08年的帖子~~ 嗯！这个.. 我也不是黑客也不是很懂.. 去怎么样攻击？但是知道这是有问题的.. 想知道真相~ 具体怎么利用这个漏洞去攻击，真正明白才会真的知道这个BUG ！刚才我试了一下那个易宝的网站，还是有问题！哈~~

作者: he_jian 时间: 2011-1-17 13:34
网站安全测试的资料确实太少

作者: wujinjie0346 时间: 2011-2-21 11:10
太牛了

作者: block 时间: 2011-8-30 18:35
慢慢看。。。

作者: tracyfmsi 时间: 2011-10-11 10:17
学习了，谢谢

作者: yy198808 时间: 2011-10-11 14:10
不错

作者: maclehappy13 时间: 2011-11-7 12:46
不错，建议51专设一个安全测试的板块。

作者: metoto 时间: 2012-4-6 21:46
看明白了，其实很早就在其他的上面运用了此种测试方法，不过没有从其攻击性的角度来看待，LZ的思路让这种方法的存在更加有意义

作者: eyesee_janno 时间: 2012-6-19 09:47

作者如果真的有点技术的话就请把文章写的简单易懂些，别光显摆，如果没技术就别在这丢人了
kkk6041 发表于 2008-11-25 13:47

不要什么东西都希望别人给你将得清清楚楚明明白白，没有谁有义务有责任这么做。如果你自己想学习，有学习能力探索思维的话，就算别人只提出了一些关键字，你也应该能够通过各种途径去了解的。如果你还没出来工作，我觉得你应该锻炼一下自己这方面的思维和能力；如果你已经出来工作了，你更加不应该有这种什么事情都要别人讲清楚的想法，即使是工作上的东西也不例外。

作者: xuquan 时间: 2012-8-15 16:36
学习了；多谢LZ share ;

作者: haha_faraway 时间: 2012-8-20 09:41
学习一下！

作者: athlandly 时间: 2012-12-20 19:42
学习。。。。

作者: piaolingxue423 时间: 2012-12-21 15:59
多谢分享

作者: kuangli1020 时间: 2013-2-21 17:45
不错贴，先谢谢啦

作者: guoguo2005 时间: 2013-5-2 10:42
Fortify+Webinspect
可以覆盖大部分安全风险，参考文档中，也有大量关于安全风险的解释和试例。
建议对安全测试感兴趣人，网上查找一下相关文档，参考学习。

作者: 51dhy1014 时间: 2013-5-28 17:48
学习中。。。

作者: 让测试飞起来 时间: 2013-6-24 15:23
测试人员比较恶劣点讲不就是捣乱的吗

作者: tzq4163 时间: 2013-7-26 12:30
不懂啊。。不知道是什么

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)