html安全隐患

驻魂圣使   ·   发表于 23天前   ·   BUG建议

论坛所有用户组都可以在帖子中包含html代码而且都会被解析,这样不是会产生安全隐患嘛?比如将【更改自己用户组为管理员】的URL请求写在HTML里然后某个具有管理员权限的用户过来看一下这个帖子,不就可以以管理员权限来启动这个指令了?

【下图为原帖截图】

3 Reply   |  Until 23天前 | 162 View

驻魂圣使
发表于 23天前


评论列表

  • 加载数据中...

编写评论内容

admin
发表于 23天前

这种技术叫做 CSRF 跨站请求

用户发帖后的HTML会被HYBBS KSES支持库进行XML解析重组,会过滤掉会执行的属性。所以XSS代码是无法执行的。

即使突破了这个 在文章内写入危险代码 也无法调用HYBBS后台请求 

因为HYBBS后台左右CSRF防跨站请求,仅允许在admin页面POST请求。


所以想执行代码,必须存在XSS漏洞。

评论列表

  • 加载数据中...

编写评论内容

驻魂圣使
发表于 23天前

admin

23天前

这种技术叫做 CSRF 跨站请求

用户发帖后的HTML会被HYBBS KSES支持库进行XML解析重组,会过滤掉会执行的属性。所以XSS代码是无法执行的。

即使突破了这个 在文章内写入危险代码 也无法调用HYBBS后台请求 

因为HYBBS后台左右CSRF防跨站请求,仅允许在admin页面POST请求。


所以想执行代码,必须存在XSS漏洞。

好的,谢谢解答

评论列表

  • 加载数据中...

编写评论内容
LoginCan Publish Content