淘宝装修可引用外部js文件

流云 · 发表于 2014-7-1 22:58:05

简要描述：
淘宝装修页对js过滤不严可使用户引用外部js文件，可获得其它淘宝用户的cookies、修改自己的店铺的评论，宝贝卖出去的数量等。
详细说明：
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

漏洞证明：
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

xiao30373500 · 发表于 2016-5-13 12:33:31

技术达人

345605300 · 发表于 2016-3-5 10:28:22

谢谢分享非常感谢

玉玺宝宝 · 发表于 2016-2-29 17:30:03

sd怎么刷比较安全

yuyeliangcha · 发表于 2016-2-27 13:34:16

学习了解到

ligangang · 发表于 2016-2-25 11:14:02

我来看看

totoking999 · 发表于 2016-2-24 21:41:41

希望荷塘月色论坛越办越好！

xiaxiami · 发表于 2016-1-27 21:53:00

学习了。

突突 · 发表于 2015-11-27 12:40:06

看看。。

风中凌乱 · 发表于 2015-11-23 14:23:11

...........................

文竹 · 发表于 2015-5-13 00:09:09

学习一下看看

mylucky · 发表于 2015-4-13 12:53:15

支持分享

皇族蓅氓兔 · 发表于 2014-11-29 12:28:56

感谢LZ无私分享，先看看再说...

		自动登录	找回密码
密码			立即注册

[开店认证] 淘宝装修可引用外部js文件