今天看啥
热点:

由于我是联通的忠实用户,前面看你挖xss,我就到联通邮箱去看了一下,粗略的看了下,子发现日程管理的日程可以xss,但是只能xss自己,郁闷放弃走人了

最近两天看都在csrf,于是我又去看了一下,这下这个xss自己就起作用了额
上图
1.测试邮箱内容<img src="updata.jsp?to=to"/>,打开邮件看图片的连接
 
测试可以csrf
2.于是找到一个get连接,添加白名单的连接
antiTrash.action?actionType=addBWwithQuery&type=1&emails=1341413415%40qq.com
 





 
 
 
 
点开邮件添加白名单成功
3.想到以前的自能xss自己的,那么要是利用csrf添加一个日程,哈哈,要是邮箱主人点开日程管理哪cookie不就是发出来了
这个就是那个xss
 
 
发csrf邮件
 
 
查看邮件
 
 
日程自动添加了一个
 
4.收cookie了
查看是否收到了cookie
 
 
5.其他的地方很多都能csrf,这个邮箱是Java做的,我想很多方法都是get,post都能调用吧
 
 
这个要是在加上
6.这就是让我最悲剧的时候了,咋个直接都能xss了,我是想不懂了,根本没过滤,我还以为这里一般都会过滤,太让我惊讶了

 
哎呀我的妈呀,我的小心脏,挖了半天结果可以xss,我想死啊

www.bkjia.comtruehttp://www.bkjia.com/wzaq/466781.htmlTechArticle由于我是联通的忠实用户,前面看你挖xss,我就到联通邮箱去看了一下,粗略的看了下,子发现日程管理的日程可以xss,但是只能xss自己,...

相关文章

    暂无相关文章
相关搜索:

帮客评论

视觉看点