易点cms系统一处越权和多处xss跨站

nunter · 发表于 2014-10-9 10:01:02

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？创建账号

×

本帖最后由 nunter 于 2014-10-9 10:02 编辑

版本：易点CMS 5.2之前的版本
0×1：越权
注册个帐号，在短消息处！
demo:http://www.diancms.com/user/message/ReadMessage.aspx?Id=55 后面ID可遍历查看所有短消息

0×2：xss跨站

1.回帖处可直接写入跨站代码
2.个人后台备忘录xss跨站（此处比较鸡肋，X管理员不大好办）
3.个人昵称处xss跨站（对个人昵称长度及字符没有限制导致，较鸡肋，可配合反射型xss利用）
4.个人短消息处xss跨站（可根据遍历短消息得来的注册ID实行撒网钓鱼~）

转至：http://www.foxck.com/post/24355f_2697c50

qgtxqj · 发表于 2014-11-1 20:38:14

原来是这样的，看来这些CMS系统还是很多的漏洞

xcjk315 · 发表于 2014-11-15 14:42:22

看不懂。。:D

sheep0556 · 发表于 2014-11-19 11:02:53

看不懂，但是总可以刷刷等级吧

无心问世 · 发表于 2014-11-19 12:42:39

支持。。。。学习了

qq0 · 发表于 2014-11-19 15:31:35

看不懂，太深奥了。还是提升等级吧！

wme001 · 发表于 2014-11-20 09:42:44

看看，学习了。

sneo · 发表于 2015-4-3 16:29:31

貌似图片挂了呢？你们能看到图片么？

账号		自动登录	找回密码
密码			创建账号

[技巧教程] 易点cms系统一处越权和多处xss跨站

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。