360 跨站脚本攻击漏洞

最新推荐文章于 2026-05-09 05:27:26 发布

原创最新推荐文章于 2026-05-09 05:27:26 发布 · 1.7k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#360跨站脚本攻击漏洞 #跨站脚本攻击XSS #跨站脚本漏洞

收录于

跨站脚本攻击（XSS）同时被 3 个专栏收录

1 篇文章

订阅专栏

跨站脚本漏洞

1 篇文章

订阅专栏

360 跨站脚本攻击漏洞

1 篇文章

订阅专栏

本文介绍了一个XSS漏洞案例，展示了如何通过UrlEncode处理输入来有效防止恶意代码注入，并提供了具体的代码修改前后对比。

漏洞证据:

<input type="hidden" id="fromurl" value="http://www.10000xc.com/index.aspx" onmousemove=alert(42873) wb="" />
漏洞地址:

http://www.10000xc.com/member/login.aspx

点击360 检测出来的结果列表中的漏洞页面链接进去之后可以看到以上提示，然后再点击最底下的漏洞演示按钮

从上面的提示可知是漏洞地址:login.aspx 这个页面出现了问题再根据漏洞证据可知是这个页面有个隐藏域 id="fromurl" 它的值会根据网页传入的URL参数直接显示出来

解决方法

原来以为跨站是说跨到其它域名的网站就叫跨站，一直想是不是引入了微博QQ登录引起的问题其实不是

只要找到login.aspx 把值 UrlEncode 一下就可以了
改前代码
<input type="hidden" id="fromurl" value="<%=fromurl %>" />
改后代码
<input type="hidden" id="fromurl" value="<%=HttpContext.Current.Server.UrlEncode(fromurl) %>" />

如果是sql 注入问题要把对应的页面 ValidateRequest="true"

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="login.aspx.cs" Inherits="Home.member.login" ValidateRequest="true" %>

ValidateRequest="true"