快播XSS盲打系统后台曝跨站脚本攻击_软件资讯_风信网

漏洞标题: XSS盲打快播某系统后台
相关厂商: 快播
漏洞作者: txcbg
提交时间: 2012-12-14
公开时间: 2012-12-18
漏洞类型: xss跨站脚本攻击
危害等级: 中
自评Rank: 6
漏洞状态: 厂商已经确认

漏洞详情

披露状态:

2012-12-14: 细节已通知厂商并且等待厂商处理中
2012-12-17: 厂商已经确认,细节仅向厂商公开
2012-12-18: 厂商提前公开漏洞,细节向公众公开

简要描述:
XSS盲打进快播某系统后台。

详细说明:
快播举报系统存在XSS漏洞,通过举报的时候加入XSS代码,获得了后台管理员的cookie,然后进入了后台。

漏洞证明:
在快播举报系统随便举报一个网站,在“举报原因”处插入XSS代码,获得了后台管理员的cookie,如图1。用curl配合获得的管理员的cookie获得了后
台页面,如图2。

快播XSS盲打系统后台曝跨站脚本攻击_软件资讯_风信网

快播XSS盲打系统后台曝跨站脚本攻击_软件资讯_风信网

修复方案:
管理员懂的。