淘宝装修可引用外部js文件

简要描述：               
淘宝装修页对js过滤不严可使用户引用外部js文件，可获得其它淘宝用户的cookies、修改自己的店铺的评论，宝贝卖出去的数量等。
- L9 U7 t, Y/ U: c( a. C8 B) G1 c详细说明：                                       
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

* @# M% l: K( v修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~
# J8 x  J* G1 [3 B
然后上一张修改后的页面图
  W- X' U* t! y2 [! `& M/ {8 R
再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

) o# `& b3 S* f# W7 G漏洞证明：                       
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图
- ^+ }. ~# d9 n9 @- x

' A0 S) @( t4 }! r修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

, ^! j# v$ N/ W& _0 M+ v4 V然后上一张修改后的页面图

' i1 D5 [. N- |+ Z再上个成品的URL，可以直接从firebug里面查看用户的外部js文件
2 P  z# u% R6 [$ k/ I/ q& W

技术达人

谢谢分享 非常感谢

sd怎么刷比较安全

学习了解到

我来看看

希望 荷塘月色论坛越办越好！

学习了。

看看。。

...........................

学习一下看看

支持分享

感谢LZ无私分享，先看看再说...