异次元发卡最新0day(XSS组合拳)

异次元商店头像上传处存在存储型XSS注入(user、admin均存在)。其中,user处有过滤,admin无。

异次元发卡最新0day(XSS组合拳)_第1张图片

异次元发卡最新0day(XSS组合拳)_第2张图片


将恶意脚本插入后,管理员访问用户管理页面即可执行恶意脚本。

异次元发卡最新0day(XSS组合拳)_第3张图片


恶意脚本执行后,会新增一个管理员用户,进而获得权限。

鉴于漏洞还没有泛滥,而且很多站都有漏洞。EXP暂时不公开。

需要学习可以加入知识星球

异次元发卡最新0day(XSS组合拳)_第4张图片


本文链接:  https://www.黑客.wang/wen/c553aea127604581.html

你可能感兴趣的:(实战案例,xss,安全,前端,网络安全,web安全)