### 简要描述：
你们防护做的挺好，我X的十分不容易，加上漏洞影响，自评16rank/*,*/
走小厂商又只有1/4rank不如给20吧 —，—
### 详细说明：
#1 先来个 反射型xss 当开胃小菜
地址：http://demo.74cms.com/jobs/jobs-list.php?key=%c0%22;eval(String.fromCharCode(97,108,101,114,116,40,100,111,99,117,109,101,110,116,46,99,111,111,107,105,101,41))//
影响：通杀全部浏览器
详情：
主页搜所后源码定位
[<img src="https://images.seebug.org/upload/201408/081431066176d866b6174e66422f94993c0865b6.jpg" alt="360截图20140808143058203.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/081431066176d866b6174e66422f94993c0865b6.jpg)
搜索框有一定的限制，直接在key输入想写的语句http://demo.74cms.com/jobs/jobs-list.php?key=
输入引号会闭合会被过滤为\"因为是gb系列编码，引号前面输入%c0把\杀死就ok了
起初我以为;分号也被过滤，地址栏把分号换为换行符%0a同样执行。
[<img src="https://images.seebug.org/upload/201408/081500345fc5d96ae3e151aa2dfddabea8ab506c.jpg" alt="360截图20140807232923734.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/081500345fc5d96ae3e151aa2dfddabea8ab506c.jpg)
#2 这里过滤严格，让我十分蛋疼
地址：http://demo.74cms.com/train/train-agency-show.php?id=36
影响：所有版本IE（测试了6-8）
详情：
[<img src="https://images.seebug.org/upload/201408/08151814b9f7dba00f3e16720b4c274d3bcfa121.jpg" alt="360截图20140808150416656.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/08151814b9f7dba00f3e16720b4c274d3bcfa121.jpg)
机构名称出写入"style=a:expre/**/ssion(alert(1))就可以绕过过滤了。
[<img src="https://images.seebug.org/upload/201408/081520384626e929a6c2e2d565f666ab073cd30a.jpg" alt="360截图20140808150627843.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/081520384626e929a6c2e2d565f666ab073cd30a.jpg)
这是我们可控的地址，很不幸过滤的很完善，我测试时差点放弃，3种弹框全被杀，还有其他诡异情况。
[<img src="https://images.seebug.org/upload/201408/08152823676fd79d878aa57e35e065c957b3917f.jpg" alt="360截图20140808152204000.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/08152823676fd79d878aa57e35e065c957b3917f.jpg)
顺便说下，本来我想的是插入width和height加大图片面积，再插入个事件，
后来准备利用eval，但是好像长度不够，但长度可以firebug或者抓包突破，应该可以通杀浏览器了，我现在太疲惫就不在测试了。
### 漏洞证明：
你们好好修复吧。
[<img src="https://images.seebug.org/upload/201408/0815364871c83d20e03ebad49b9d5e92b14bc47c.jpg" alt="360截图20140808145723671.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/0815364871c83d20e03ebad49b9d5e92b14bc47c.jpg)
京公网安备 11010502034610号
暂无评论