[转载] 动网头像跨站漏洞的利用方法!

[转载] 动网头像跨站漏洞的利用方法!

来自：冰点极限

我就把利用方法简单说一下吧........
首先,注册一用户,直接到用户资料修改处..更新后进行抓包..如下图:

我们要用到刺猬写的一个post提交工具:

把我们抓到的东西填入工具中...如下图:


这里说明一下,要修改提交信息里面的内容,当myface为空或其他原因时程序才会读取face提交的值..
Face就是要提交的值(也就是我们要写入的代码):把它修改为:

javas|cript:alert("哈哈,头号烂烟犯到此一游")
然后把myface的值修改为空.......
点击post工具里面的测试键....
最后效果出来了....如下图:

文件:	b200689171214.rar
大小:	76KB
下载:	下载