开心网之高危安全隐患:猜想及抛砖引玉

前言(废话):

社交网站是目前全球最热门的一种网站,我在各种社交网站上都有帐号,facebook,人人,开心等..但是我同时拥有自己的Blog,每次我写一篇日志,当然想更多人看到,重复发送到facebook,人人,开心?当然不需要,这些网站都提供了rss订阅,一键追踪导入日志..good.

本文也就是根据RSS存在的安全隐患展开讨论.

kaixin

大家都知道rss,本身是支持html的.

目前开心,facebook,人人等各种网站在编写日志的时候,显然都是禁用HTML的,因为这中间会让hacker们有大量的利用机会.

但是,无意中我发现,开心网在导入rss的时候,没有过滤其中的HTML元素!!其他几个社交网站都进行了过滤.OK.让我们开始测试.

咱就用个最原始的挂马方法好了iframe框架..HOHO.

由于我用的feedsky的rss服务,要过几个小时之后rss端才会有反应.所以,等几个小时之后,我们就可以在开心网检查一下,这段代码是否被成功导入,抛砖引玉而已啦,呵呵,这个也算是自己的一点小发现,转载的话请注明原文链接哦!

2010
01/04
分类：
醉生梦死在飘渺网络
12 条评论

  1. 还真是危险呐

    • -.- 为啥回复时间我这边显示的是一年前?? :arrow: :arrow: :arrow:

    • 流量计
    • 一月 4th, 2010

    博主写的不错，受益匪浅，学习了

  3. 你是怎么发现的啊？

    • 就导入的时候发现,视频能被导入. 其他网站都不能…

    • 其他几个社区站导入的时候把文字大小变化都删除了.fuck了

  4. 这个挂起来会很可怕哦~特别是SNS网站，哇~~~

  5. 我又想到他媽的偷菜遊戲了~

    • :mrgreen: 难道是偷菜高手?

      • 我的郵件通知帶有這句話：全球第一個對偷菜遊戲怨念最大的獨立部落格，這是一個國際個人組織，我們正在組建打洞遊擊隊。

  6. 我真的不是希望开心网挂掉来的… :question:

  1. 还没有引用通告。