淘宝装修可引用外部js文件

简要描述：               
8 Q& G3 |- p5 d6 w1 l淘宝装修页对js过滤不严可使用户引用外部js文件，可获得其它淘宝用户的cookies、修改自己的店铺的评论，宝贝卖出去的数量等。
详细说明：                                       
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

  p8 x7 d3 @) ~7 G7 i& |修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

$ O3 n- i& p( c% S! f, ]0 p然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件
5 ]" ^! `6 y2 s
4 W' R  {5 z. j) l; x+ v漏洞证明：                       
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图
* M3 r6 W; e! }- a5 r
2 b& A  z/ N1 A) ~. g; g3 M
$ T$ M6 a, N, a修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~
4 u! X8 _1 n; m8 E# o0 R: V
然后上一张修改后的页面图

再上个成品的URL，可以直接从firebug里面查看用户的外部js文件
0 K' x' P3 C# v& j/ X1 v1 z

我来个吧

谢谢，希望有用

11111111111111

牛B的网站，我喜欢

dddddddddddddddddd

12345678910111213141516

看看~~~~~~~~~

好东西，支持了、
. B* \5 A7 ~$ k+ w

了解一下了

路过看看