漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-015740
漏洞标题：天格科技9158.com配置失误导致2处关键位置XSS
相关厂商：天格科技（杭州）
漏洞作者： lxj616
提交时间：2012-12-08 15:49
修复时间：2013-01-22 15:50
公开时间：2013-01-22 15:50
漏洞类型：应用配置错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-12-08： 细节已通知厂商并且等待厂商处理中
2012-12-10： 厂商已经确认，细节仅向厂商公开
2012-12-20： 细节向核心白帽子及相关领域专家公开
2012-12-30： 细节向普通白帽子公开
2013-01-09： 细节向实习白帽子公开
2013-01-22： 细节向公众公开
简要描述：
天格科技9158.com 过滤设置不当 漏掉2处关键位置 导致2处严重的XSS
详细说明：
一上来发现my.9158.com（账户应用服务器）出现个XSS
http://my.9158.com/login_pass.aspx?go=%22%20onmouseover%3dprompt%28947212%29%20bad%3d%22
反射式的有且只有这一处（任意位置动动鼠标就出现啦）
反射式的只有这一处，别的地方没有！？配置失误了吧
在设置个人主页标题时没有过滤，但这可真是新鲜事，因为我刚测试了个人信息所有输入的地方都做了转义（能不能突破先不谈，有过滤说明有配置）为什么单单个人主页标题没过滤，配置失误了吧
http://home.9158.com/index.aspx?UserId=lxj616
进主页就直接弹了
漏洞证明：
修复方案：
1.把这两处补上
2.整个的安全配置最好能整体化，单个单个配置容易出现问题，而且长期看也并不简便
3.你们的“一流的安全防御软件”好像只过滤GET请求提交的参数！我测试post时并没有拦截，你们仔细看看确认一下，不当新漏洞发了
版权声明：转载请注明来源 lxj616@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-12-10 14:07
厂商回复：
谢谢 lxj616 的漏洞和建议。我们会尽快修复
最新状态：
暂无