html模板注入漏洞

jy2013 · 发表于 2020-4-26 18:03:04

刚收到客户信息安全部门系统扫描报告，我们的系统目前有个高危的安全隐患，可以被用户恶意攻击，请评估一下如何关闭掉该漏洞，客户需要尽快评估和答复，谢谢！检测报告详见附件

html模板注入漏洞 .rar (199.16 KB, 下载次数: 74)

jishuang · 发表于 2020-4-26 19:03:46

可以自己创建一个filter实现，可以到网上查找标准的web应用filter过滤url的控制

jy2013 · 发表于 2020-4-28 15:51:52

jishuang 发表于 2020-4-26 19:03
可以自己创建一个filter实现，可以到网上查找标准的web应用filter过滤url的控制 ...

网上找到了下面的内容
https://blog.csdn.net/BurnsFlower/article/details/84958393
把第2条的内容复制进去了

directLogin.rar (1.23 KB, 下载次数: 53)

jishuang · 发表于 2020-4-28 17:14:13

filter中加调试信息看看执行了吗

jy2013 · 发表于 2020-4-29 16:53:06

jishuang 发表于 2020-4-28 17:14
filter中加调试信息看看执行了吗

这算执行了吗？

jishuang · 发表于 2020-4-29 18:29:16

调用到了filter就应该是执行了

jy2013 · 发表于 2020-4-29 20:04:26

jishuang 发表于 2020-4-29 18:29
调用到了filter就应该是执行了

但是那个alert(/xss/)还是被执行了，即filter没有启作用。。。
怎么办？

jishuang · 发表于 2020-4-30 09:11:15

先自己创建一个web应用测试看看，标准的web应用运行正确后在往平台里面放

		自动登录	找回密码
密码			注册

[处理中3] html模板注入漏洞