记一个非常鸡肋的存储型xss

前言

在2018.11.19日的下午，刚好把手上的事情忙完了，闲来无事，去逛了逛交易所，发现某交易所做的界面整洁，非常漂亮，且谁便浏览了下感觉安全性的很到位，在充值和提现等处都进行三重验证，任何带有输入框进行过滤等。反正没事，既然安全性很高，看看能不能找个漏洞玩玩。

找漏洞

找了一圈都没发现啥，刚好停留在用户建议这个界面，有三个输入框和一个下拉框，当时试了很久带有<>、script、img、&等字符的都会拦截。

但是似乎遗漏了事件，于是尝试使用input标签的onchange事件注入XSS代码。

在第一个文本框中输入”onchange=alert(2) “并保存，刷新页面，右键查看源码，注入成功：（源码截图就没放上了）

只要尝试在输入框中输入新的内容，就会触发XSS，弹框：

xss截图

是的，成功触发XSS代码了，可是这个鸡肋的XSS漏洞有什么卵用呢？首先，这个XSS漏洞依赖事件触发，只有用户在提交请求时恶意代码才有可能执行，其次这是一个存储型的XSS漏洞，你不可能要求用户按照攻击者的意思，事先在自己的意见里键入XSS代码并提交吧。

结后语

像这种漏洞可以找找有没有csrf漏洞，如果存在csrf，那就可以利用xss+csrf结合使用了。在freebuff上有一篇文章介绍使用的，当时也是在那看到才知道有事件型xss，所以感谢各位前辈的文章，多学习。学习可以点击