Yeepay网站安全测试漏洞之跨站脚本注入

卖烧烤的鱼

1 什么是跨站脚本注入
跨站脚本攻击（也称为XSS）指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息。攻击者通常会用十六进制（或其他编码方式）将链接编码，以免用户怀疑它的合法性。网站在接收到包含恶意代码的请求之后会产成一个包含恶意代码的页面，而这个页面看起来就像是那个网站应当生成的合法页面一样。许多流行的留言本和论坛程序允许用户发表包含HTML和javascript的帖子。假设用户甲发表了一篇包含恶意脚本的帖子，那么用户乙在浏览这篇帖子时，恶意脚本就会执行，盗取用户乙的session信息

2 本文作者以Yeepay网站为例,测试过程中发现存在跨站脚本注入情况:
在浏览器打开 http://www.yeepay.com/search/sea ... amp;amp;searchtext=>><ScRd>alert(88888888.8888888)%3B</ScRiPt>弹出如下对话框:


如果恶意用户针对js弹出对话框设置其它数据,会存在用户跳转到其它网站,轻则用户的信息被盗取,重则Yeepay的用户资金可以会丢失,为防止有人利用,所以本文作者将具体的跨站脚本攻击脚本做了修改^_^
Yeepay网站存在类似的漏洞,经本文作者验证还有如下接口:

http://www.yeepay.com/brightangel/jsp/queryAngleOrder.action
http://www.yeepay.com/brightangel/queryAngleOrder.action
http://www.yeepay.com/individualservice/Regist.action
http://www.yeepay.com/mlove/QueryDonateOrderAction.action
http://www.yeepay.com/search/search.jsp
http://www.yeepay.com/selfservice/regist.action

希望早点能解决,呵呵^_^



[ 本帖最后由 卖烧烤的鱼 于 2008-5-5 11:52 编辑 ]

nana430

   应该是yeepay吧，谢谢楼主分享，回头试试

http://www.yespay.com/brightangel/jsp/queryAngleOrder.action
http://www.yespay.com/brightangel/queryAngleOrder.action
http://www.yespay.com/individualservice/Regist.action
http://www.yespay.com/mlove/QueryDonateOrderAction.action
http://www.yespay.com/search/search.jsp
http://www.yespay.com/selfservice/regist.action

lsfforlove

专业化了，偶不懂呀！路过看下了！！！

zhangj8826

wanghua

呀呀，谢谢，谢谢

lilysun0411

学了不少！
谢谢LZ

meng0819

高人。据说最初的黑客就是做安全测试的。

fqs209

测试人员比较恶劣点讲 不就是捣乱的吗

cainiaoxiao

好东东。好好研究

lovetesting52

安全性测试是web测试中很重要的一个方面，特别是电子商务网站，可惜的是咱们论坛中关于这方面的知识不是很多。希望对这方面了解得比较多的朋友多讨论一下那方面的知识，先多谢了！

shhuangfy

以前没有接触过这一块，看了楼主说的还是不太懂

fangyiye

不懂，望高手教教

燕子东南飞

赞同楼上的说法，我前端时间公司让我也做网站安全的相关测试，我一看就傻眼了，希望在论坛中关于这方面的知识大家相互学习一下了

[ 本帖最后由 燕子东南飞 于 2008-7-12 13:08 编辑 ]

stone-石头

比较复杂，偶想多学习一下这方面的知识！

safecorner

这个是漏洞，但不会给攻击者利用！

卖烧烤的鱼

呵呵，很难说，我就碰到过让攻击者利用的例子，盗取用户cookie,session信息或是做成类似钓鱼网站

燕子东南飞

安全测试还在研究中，谢谢。

safeng

本来我是个标准看了不回的人
呵呵，但是看了这个贴子还很新 就想说几句

跨站攻击 在国内 黑客攻击上 已经被 广泛用到了

其实楼上已经提到了
通过 跨站其实可以达到很多目的
如用户cookie 等
   这些数据其实对于用于是很敏感的
存在跨站问题也很多
        利用的时候 还有点社会工程学
因为在很多情况下 一般用户信息对于入侵者 作用并不大
管理员才是他们最感兴趣的
所以 通过论谈或一类交互信息 比较多的地方 发一些吸引性强的 贴子啊 一类的 信息来引吸 管理员来浏览就能达到目的了

具的 欢迎大家讨论

延续精彩

有收获。
LZ你的意思是只要是可写操作的页面都有可能存在安全漏洞吗？

kkk6041

作者如果真的有点技术的话就请把文章写的简单易懂些，别光显摆，如果没技术就别在这丢人了