记一次XSS漏洞(慕课网)

首先随便注册个账号进入到手记栏目, 也就是文章区

点击右侧的写文章

点击插入图片

关键来了:

图片描述这里, 是直接写入img标签的title字段的!

这里我们可以尝试拼接onload来触发js

而且最最傻逼的一点, SESSIONID 不是httpOnly, 意味着我们可以通过js 脚本读取到SESSIONID

随便发布一篇文章, 等待管理员审核

成功拿到管理员账号

更为讽刺的是, 该名管理员还在看XSS 安全视频…

---

2018年7月2日更新
不用尝试了, 已经反馈给官方, 已修复