欢迎光临

木子屋

标题: 淘宝店铺发贴漏洞：可执行任何html代码

作者: dnawo

日期: 2009-06-02 11:04 PM

分类: 淘宝网

内容: 在发贴时输入以下内容并保存：
复制内容到剪贴板 程序代码<a href="http://www.mzwu.com/"><font color="red">木子屋</font></a>
保存后显示结果为：
复制内容到剪贴板 程序代码<a href="#">木子屋</a>
这说明淘宝程序有对html代码进行过滤，好了，我们对内容稍做修改：
复制内容到剪贴板 程序代码&amp;lt;a href="http://www.mzwu.com/"&amp;gt;&amp;lt;font color="red"&amp;gt;木子屋&amp;lt;/font&amp;gt;&amp;lt;/a&amp;gt;
这次保存后显示的结果为：
复制内容到剪贴板 程序代码<a href="http://www.mzwu.com/"><font color="red">木子屋</font></a>
可以猜测：在贴子内容显示到页面前，淘宝将实体转化成了字符(如<转为<，>转为>)，从而使我们精心构造的html代码得以执行！利用这一原理，我们可以在贴子中执行任何html代码，甚至是js代码都能被执行！

+ 查看当前日志评论 (0)

登录

────────────

木子屋

PJBlog3 v3.2.9.518 Inside.

Processed In 1.271 ms

返回

标题: 淘宝店铺发贴漏洞：可执行任何html代码

你没有权限发表评论

────────────

木子屋

PJBlog3 v3.2.9.518 Inside.

Processed In 1.271 ms

返回

暂无评论

返回

────────────

木子屋

PJBlog3 v3.2.9.518 Inside.

Processed In 1.301 ms

返回