漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-071916
漏洞标题：买卖宝商城存在多处XSS
相关厂商：无锡买卖宝信息技术有限公司
漏洞作者： 百晓生
提交时间：2014-08-11 11:00
修复时间：2014-09-25 11:02
公开时间：2014-09-25 11:02
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-11： 细节已通知厂商并且等待厂商处理中
2014-08-11： 厂商已经确认，细节仅向厂商公开
2014-08-21： 细节向核心白帽子及相关领域专家公开
2014-08-31： 细节向普通白帽子公开
2014-09-10： 细节向实习白帽子公开
2014-09-25： 细节向公众公开
简要描述：
前几日闲来无事看到有一商城叫做买卖宝，腾讯控股的，肯定高大上！遂慕名而来。。。打卡网页，小手下意识的输入几个诗句，呀，有问题。。。
详细说明：
打开网页。http://pc.mmb.cn 有搜索窗口，输入几个js，竟然有弹窗。
既然如此，深入一下。首先要注册帐号，发现test123被人给注册了，想了想这种测试肯定是弱口令，123456，登上了。。。登录地址：http://pc.mmb.cn/wap/pc/user/login.jsp 登录后，修改查看个人资料，修改，在地址栏处存在XSS
再到收货地址，同样存在该问题。
竟然到处都有洞，看来对XSS完全没有防护啊。腾讯旗下！！！！如此可以推测，当提交订单后，管理员的cookie可定能盲打，不过，不能对站点有太多影响，就不虚假提交订单了。你们可以自己试试。
漏洞证明：
打开网页。http://pc.mmb.cn 有搜索窗口，输入几个js，竟然有弹窗。
既然如此，深入一下。首先要注册帐号，发现test123被人给注册了，想了想这种测试肯定是弱口令，123456，登上了。。。登录地址：http://pc.mmb.cn/wap/pc/user/login.jsp 登录后，修改查看个人资料，修改，在地址栏处存在XSS
再到收货地址，同样存在该问题。
竟然到处都有洞，看来对XSS完全没有防护啊。腾讯旗下！！！！如此可以推测，当提交订单后，管理员的cookie可定能盲打，不过，不能对站点有太多影响，就不虚假提交了。你们可以自己试试。
修复方案：
开发人员学习一下基本的安全常识吧。。。听说买卖宝对农民工市场渗透的很深，我也是民工，整天搬砖，能给点奖品不。。。
版权声明：转载请注明来源 百晓生@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2014-08-11 11:20
厂商回复：
谢谢！
虽然系统有一些其他措施，对xss有一定的防御能力。
但还是十分感谢！
礼物是必须的~~呵呵
最新状态：
暂无