标题: 淘宝店铺发贴漏洞：可执行任何html代码
作者: dnawo
日期: 2009-06-02 11:04 PM
分类: 淘宝网
内容: 在发贴时输入以下内容并保存：
复制内容到剪贴板 程序代码<a href="http://www.mzwu.com/"><font color="red">木子屋</font></a>
保存后显示结果为：
复制内容到剪贴板 程序代码<a href="#">木子屋</a>
这说明淘宝程序有对html代码进行过滤，好了，我们对内容稍做修改：
复制内容到剪贴板 程序代码&lt;a href="http://www.mzwu.com/"&gt;&lt;font color="red"&gt;木子屋&lt;/font&gt;&lt;/a&gt;
这次保存后显示的结果为：
复制内容到剪贴板 程序代码<a href="http://www.mzwu.com/"><font color="red">木子屋</font></a>
可以猜测：在贴子内容显示到页面前，淘宝将实体转化成了字符(如<转为<，>转为>)，从而使我们精心构造的html代码得以执行！利用这一原理，我们可以在贴子中执行任何html代码，甚至是js代码都能被执行！
+ 查看当前日志评论 (0)
────────────
PJBlog3 v3.2.9.518 Inside.
Processed In 0.031 ms
你没有权限发表评论
────────────
PJBlog3 v3.2.9.518 Inside.
Processed In 0.031 ms
暂无评论
────────────
PJBlog3 v3.2.9.518 Inside.
Processed In 0.031 ms