跳至主內容區

南科實中行政支援網站

This is an example of a HTML caption with a link.
:::

[320] 維修通知單

報修內容 學校網站漏洞
報修地點 學校網站
報修日期 2019-01-01 16:27:25
嚴重程度 嚴重
報修者 僅管理者可見
詳細說明 XSS 漏洞
本漏洞問題出在「tadtools」模組中的 360.php

只要輸入此網站即會執行攻擊者指定的程式碼
http://hs.nnkieh.tn.edu.tw/modules/tadtools/360.php?photo=</script><script> 程式碼執行</script>

分析：
如圖所示此頁面直接用 PHP 輸出網址參數
因為 PHP 本身會過濾以下三種符號
•\
•'
•"
因此只能使用</script>閉合原本標籤，
再令使用一 script
例子：
當我輸入
http://hs.nnkieh.tn.edu.tw/modules/tadtools/360.php?photo=</script><script>alert(1)</script>
標籤程式碼確實執行了（如圖）
（備註：使用 firefox 的原因是因為 Chrome 會自動阻擋 XSS 的標籤）
照片

處理狀況

負責單位 資訊室IT-國中部含IBST
處理狀況已修復
回覆內容已修正，謝謝~
回覆日期2019-01-01 23:02:46
回覆者 僅登入後可見
照片