淘宝应用xss,可钓鱼等等神马的!!!

漏洞概要

缺陷编号:WooYun-2012-06470

漏洞标题:淘宝应用xss,可钓鱼等等神马的!!!

相关厂商:淘宝网

漏洞作者:我怀念的

提交时间:2012-04-28 02:29

公开时间:2012-04-28 10:28

漏洞类型:网络设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2012-04-28: 细节已通知厂商并且等待厂商处理中
2012-04-28: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-28: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

描述啥,我一个小菜B.

详细说明:

漏洞证明:

http://yingyong.taobao.com/show.htm?app_id=150001&turl=www.baidu.com

修复方案:

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-28 10:28

厂商回复:

由淘宝开发平台,第三方代码漏洞引起。感谢白帽子我怀念的提醒

最新状态:

2012-04-28:感谢,各位大侠的关注。
http://yingyong.taobao.com/show.htm?app_id=150001&turl=www.baidu.com
用iframe 将 第三个的地址应用进来。具体的流程,各位大侠稍作分析,就可知。

评价

  1. 2010-01-01 00:00 1cefish 白帽子 | Rank:47 漏洞数:12)

    这也忽略 我草 碉堡了

  2. 2010-01-01 00:00 Mr.杨总 白帽子 | Rank:13 漏洞数:4)

    楼上是黑阔。。。。

  3. 2010-01-01 00:00 小威 白帽子 | Rank:380 漏洞数:43)

    淘宝碉堡了 我日 这都忽略 抓紧去钓鱼

  4. 2010-01-01 00:00 冷冷的夜 白帽子 | Rank:75 漏洞数:12)

    这都忽略啊,钓鱼了,钓鱼了

  5. 2010-01-01 00:00 Jannock 白帽子 | Rank:2116 漏洞数:212)

    搞错了吧?不像第三方

  6. 2010-01-01 00:00 char 白帽子 | Rank:13 漏洞数:2)

    只能怪厂商验证漏洞这个人不懂,哪能怪你们钓鱼。伤不起啊。

  7. 2010-01-01 00:00 Jannock 白帽子 | Rank:2116 漏洞数:212)

    感觉这是设计上的问题。怎么说也是存在钓鱼隐患。各位觉得呢?

  8. 2010-01-01 00:00 冷冷的夜 白帽子 | Rank:75 漏洞数:12)

    用iframe 将 第三个的地址应用进来。。。。。
    这个就更是你们的问题了,随便一个网站的url都能应用进来,也没有啥限制,钓鱼页面也能应用进来,这个就是设计上的漏洞

  9. 2010-01-01 00:00 Passer_by 白帽子 | Rank:94 漏洞数:18)

    还没修复。。刚好赶上五一。。

  10. 2010-01-01 00:00 goderci 白帽子 | Rank:522 漏洞数:47)

    这个很火!貌似yingyong都关了!

  11. 2010-01-01 00:00 Eoh 白帽子 | Rank:269 漏洞数:28)

    精心构造下,可以获取 cookis,淘宝碉堡了

  12. 2010-01-01 00:00 Eoh 白帽子 | Rank:269 漏洞数:28)

    cookies 打快了, wooyun没回复 编辑功能么。

  13. 2010-01-01 00:00 冷冷的夜 白帽子 | Rank:75 漏洞数:12)

    @Eoh 还不如钓鱼,中个啥大奖,然后一个弹出层,要求重新登录,然哈把帐号密码发到指定邮箱多好,嘿嘿

  14. 2010-01-01 00:00 Eoh 白帽子 | Rank:269 漏洞数:28)

    @冷冷的夜 邪恶的人类啊,我想复杂了,你这个方法容易多了。采纳你的意见,+100Rank

  15. 2010-01-01 00:00 Valo洛洛 白帽子 | Rank:428 漏洞数:50)

    这个。。怎讲会忽略,谁能告诉我怎么会啊。。。。

  16. 2010-01-01 00:00 蚊虫 白帽子 | Rank:26 漏洞数:12)

    亲们快点弄个登录框钓鱼啊亲

  17. 2010-01-01 00:00 疏懒 白帽子 | Rank:241 漏洞数:26)

    修复了就好~

  18. 2010-01-01 00:00 我怀念的 白帽子 | Rank:45 漏洞数:8)

    早知道给无视,哥哥钓几天鱼 在发出来@

  19. 2010-01-01 00:00 cy3ber 白帽子 | Rank:3 漏洞数:1)

    现在的厂商都是蛋疼的命,忽略个漏洞 没几小时就去修复了 给点rank会怀孕啊

  20. 2010-01-01 00:00 Eoh 白帽子 | Rank:269 漏洞数:28)

    修复了,我强烈要求 以后有事情去 wooyun的论坛发,刚刚写好钓鱼程序,几分钟后就修复了,不是说忽略的吗?有种别修复啊……,杯具到……还打算5.1玩玩钓鱼的呢

  21. 2010-01-01 00:00 char 白帽子 | Rank:13 漏洞数:2)

    @Eoh 我觉得wooyun应该出个制度保障白帽的辛苦付出,而不是像现在这样,忽略完立刻打补丁,这是对白帽的不尊重。