漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045784
漏洞标题：房产网站所有分站通用存储型xss
相关厂商：房王网
漏洞作者： rick
提交时间：2013-12-13 12:53
修复时间：2014-01-27 12:54
公开时间：2014-01-27 12:54
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-13： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-01-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
求邀请码一枚，房王ihk.cn前几天提交过此网站xss漏洞，虽管理员因“影响小”未通过，但发现上次漏洞已修复不过未修复完全，此漏洞影响其下所有分站中所有资讯信息和房产详细信息。
详细说明：
1.以广州站为例，进入http://gz.ihk.cn/ 随便点击主页链接，90%页面存在留言，尝试注入<script>alert(1)</script>被编码了
2.尝试直接修改post
3.成功，测试过程中发现 只有前端进行字数和内容的控制，服务端完全无验证
漏洞证明：
分站
网站收录，看在这么多收录份上给个邀请码学习学习呗
修复方案：
服务端过滤参数
版权声明：转载请注明来源 rick@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝