关于前些天贴吧存储型Xss漏洞的分析。

afangjiachen · 发表于 2014-3-16 10:10:22

附上无修改的js脚本[本js脚本先后经过了三次或三次以上的修改。]

xssJS.zip (2.01 KB, 下载次数: 6)

分析js脚本可得:
1.大吧自动封禁撤销所有小吧
2.具有白名单 [bug吧 firefox吧 chrome吧]js脚本先后更新了几次,白名单后来添加了[罪恶都市]吧
3.红尾巴用户自动去[贴吧意见反馈]吧发帖,发帖内容为:[百度SB] (但是代码好像写错,无用)
4.触发代码后会在我喜欢的贴吧进行发帖。
发帖标题:"你的未来在这个帖子里，想看吗？", "愚蠢的凡人接受神の怒火吧","这是命运石之门的选择","颤抖吧，凡人们！","欺骗一开始的你欺骗世界吧","谁要吃变态的香蕉！","刚才收到了强烈的精神攻击心...心灵正遭到侵蚀","不要靠近我！我正在执行阻止机关暴力行为的作战","手拿金坷垃，脚踏七彩云端，发出最后的呐喊","颤抖吧，凡人们！"
5.该js脚本写的较粗糙,应为即兴发挥。6.本xss漏洞利用者目测已被查水表。