V2EX的个人设置中的自定义CSS功能存在安全漏洞

[qichunren]

输入其中的内容如下，你们懂的。

</style>
<script>
alert("xss");
</script>
<style>
#Top {
background: #BDBDBD;
}

[disinfeqt]

XSS 也就黑你自己而已……

[loading]

当v2ex数据库能被插这些代码的时候，哪里还安全。

这个权当是自定JS功能的"预留接口"

[bhuztez]

@disinfeqt CSRF ...

[qichunren]

@disinfeqt 我当然知道这个自定义的CCS,是对当前登录用户，起作用的。但这的确是一个漏洞，虽然我还没有想到怎么样可以有效地利用。

[1212e]

http://www.v2ex.com/t/16863 , 5#
http://www.v2ex.com/t/16892

[Livid]

你可以对自己的帐号做任何事情啊，就像你永远都可以在浏览器地址栏用 javascript: 来做任何事情，但是这个不是安全漏洞。除非你能够将这些代码显示在别人的浏览器里。

[eric_zyh]

可以用ajax给服务器post数据不？

[jackmasa]

只要用户访问另一个网页,
然后那个页面中通过CSRF登录带有xss的v2ex账户,
这样就可以控制v2ex的页面了,
然后控制的页面伪装成登录界面,
让用户重新登录,
这样就完成了劫持.
@Livid

[Livid]

@jackmasa 这是 phishing，但是 V2EX 不是银行 :P

[t3st]

@jackmasa 这样就不是v2ex站点的问题了吧，网络钓鱼而已。你完全可以写个新页面,伪装成登录页面,记录账号密码然后重定向到v2ex站点。

[bhuztez]

http://www.v2ex.com/t/35808

[jackmasa]

@Livid
@t3st
@bhuztez
http://jsbin.com/uzefum/5/ 这个如何?

[Livid]

@jackmasa 你似乎改了一下代码，最初的能显示 hello 的代码是？

[Livid]

@jackmasa Oh 我明白了，那个新帐号的自定义 CSS。

谢谢。

[Livid]

@jackmasa Fixed.

[gDD]

@Livid 自定义CSS我觉得没问题，“>”在CSS里是有用的，没必要转义一下。

@jackmasa http://jsbin.com/uzefum/5/edit ，实在没看明白，难道是V2EX的/signin支持跨域POST？

[jackmasa]

@Livid (゜ー゜） ,刚看了下资料设置页好像没有加csrf token,应该可以用刚刚那种方式直接修改当前用户的css,然后xss之

[Livid]

@jackmasa 谢谢提醒。

马上解决。

[Livid]

@jackmasa 现在再试试？

[gDD]

@gDD #16

终于知道了，原来form提交是可以跨域的。

http://stackoverflow.com/a/1324858/753533