淘宝装修可引用外部js文件

天音沙龙 · 发表于 2024-1-23 17:18:05

简要描述：
淘宝装修页对js过滤不严可使用户引用外部js文件，可获得其它淘宝用户的cookies、修改自己的店铺的评论，宝贝卖出去的数量等。
详细说明：
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

漏洞证明：
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

拱手江山讨你欢 · 发表于 2024-1-23 17:18:35

我来个吧

花落肩头 · 发表于 2024-1-23 17:19:22

谢谢，希望有用

独自渲染离殇 · 发表于 2024-1-23 17:19:43

11111111111111

孤街凉巷 · 发表于 2024-1-23 17:20:30

暗黑小小兔 · 发表于 2024-1-23 17:21:18

牛B的网站，我喜欢

无爱者自拥 · 发表于 2024-1-23 17:21:54

dddddddddddddddddd

顾可耐 · 发表于 2024-1-23 17:22:43

12345678910111213141516

一枚小可爱 · 发表于 2024-1-23 17:23:18

看看~~~~~~~~~

归期未有期 · 发表于 2024-1-23 17:23:59

好东西，支持了、

		自动登录	找回密码
密码			立即注册

淘宝装修可引用外部js文件

本帖子中包含更多资源

本帖子中包含更多资源