漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-048497
漏洞标题：吉屋网xss漏洞适用各个分站
相关厂商：jiwu.com
漏洞作者： scan_z
提交时间：2014-01-10 18:08
修复时间：2014-02-24 18:08
公开时间：2014-02-24 18:08
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-10： 细节已通知厂商并且等待厂商处理中
2014-01-14： 厂商已经确认，细节仅向厂商公开
2014-01-24： 细节向核心白帽子及相关领域专家公开
2014-02-03： 细节向普通白帽子公开
2014-02-13： 细节向实习白帽子公开
2014-02-24： 细节向公众公开
简要描述：
吉屋网某处xss漏洞，可以利用到各个分站。
详细说明：
在吉屋网随便个地区分站注册个经纪人，修改个人信息里面的个人简介，里面直接填入你想要插入的各种代码，虽然显示是被过滤，但是访问经纪人主页却被执行了。。。
1、修改个人简介：http://t.jiwu.com/info!detail.action
2、访问经纪人主页执行: http://sz.jiwu.com/loupan/jjr/15532.html
-------利用方式---
一、各种钓鱼钓后台钓管理。
二、经纪人去回答问题，xss蠕虫用上，会有一堆饼干向你飞来。
三、吉屋网址为绿色安全图标，可以发QQ垃圾信息用来跳转。
四、。。。。。。
--------题外话----
去面试吉屋某分站黑盒测试员实习生，被那位大牛面试官用学校书本上的各种专业词顶回去了。。。能不要这样好吗？我是实习学习来的，不是背书来的。
漏洞证明：
1、修改个人简介的时候有长度限制，抓包修改可以绕过。。。
2、访问经纪人主页效果
修复方案：
那位胖胖的大牛应该很厉害。。。
版权声明：转载请注明来源 scan_z@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-01-14 09:50
厂商回复：
谢谢scan_z提醒
最新状态：
暂无