搜狗（sogou ）说吧短消息XSS跨站漏洞分析报告脚本安全电脑资料.docVIP

搜狗（sogou ）说吧短消息XSS跨站漏洞分析报告脚本安全电脑资料 最近搜狗和google有矛盾了，google竟盗用搜狗的词库，呵， 搜狗说吧短XSS 这个漏洞应该说是高危的。首先我们一个用户（地址：s.sogou./buildIndex.do），进入我们的说吧中心，说是说吧，和百度的贴吧一个样子，呵，只是改了下名字而已！在管理中心中有个发短消息的，通过这个平台，你可以给任意一个在SOGOU说吧中的用户发送消息，而XSS跨点就出现在这儿，直接用自己做试验，我给自己的发了个息，编码这样写的！直接用自己做试验，我给自己的发了个短信息，编码这样写的！ 然后发送吧，刚一发送成功，就会发现XSS代码执行成功了！ 退出管理中心，我重进，结果刚一进XSS就执行了，这告诉我们：无论消息接收者是否查看了该短消息，只要它一进它的信息管理中心都要执行我们的代码，那么，如果我们挂马，启不...... 测试 再次给自己发送！再到管理中心，结果发现在管理中心首页没有执行，而打开刚才发送的消息时确出现了iframe执行的效果，这似乎我们要的结果已经达到了，挂马也成功了，但如果对方不打开消息我们的挂马启不起效果呢？ 进入管理中心首页查看源代码，我们发现了这个： Copy co