V2EX的个人设置中的自定义CSS功能存在安全漏洞

[qichunren]

输入其中的内容如下，你们懂的。

</style>
<script>
alert("xss");
</script>
<style>
#Top {
background: #BDBDBD;
}

[Livid]

@gDD 目前已经加入了一些检查。

[Livid]

@jackmasa 很感谢你的发现。

但是有个地方我还是没有想明白，希望你能解释一下。

用另外一个帐号跨域登录的话，cookie 变了，当前登录用户也变了的情况下，如何能够影响到之前点击链接的用户呢？

当然，用户看到自己的登录名变了确实会感觉比较惊悚。:)

[aligo]

@Livid 似乎没有影响到之前点击链接的用户

[Livid]

@aligo 希望如此。

安全方面我不是专家，还请大家多多赐教。:)

[1212e]

@aligo
@Livid
@gDD

接下来的步骤是画出一个假的登录form来骗取密码?

[xlaok]

哇哦，很酷，没想到这个居然能被利用。

[gDD]

@1212e 是的，其实应该直接写<form/>然后submit()修改自定义CSS（往里插入JS），然后就All your XX are belong to us了 xD

[1212e]

@jackmasa @gDD 哈哈...

所以真正的漏洞是跨域post，而不是自定义CSS吧？囧…学习了…

[altchen]

呵呵，还想到还有这种方式，受教了



@1212e 应该是两个同时存在的时候就危险，单个倒还好

[jackmasa]

@gDD 嗯,我在17楼有提到
@1212e 正解,正确的修复方式应该是给v2ex设置页和登录页加csrf token // cc @Livid

[rhyzx]

额... 怎么就盖了这么多楼了

这个自定义CSS相当于给v2ex加个油猴脚本(stylish), 只对于客户端有效
客户端你想怎么搞就能怎么搞, 即使关了自定义CSS也限制不了的吧?