影响版本:PJBlog 3.0.6.170
程序介绍:
PJBlog一套开源免费的中文个人博客系统程序,采用asp+Access的技术,具有相当高的运作效能以及更新率,也支持目前Blog所使用的新技术。
漏洞分析:
在文件Action.asp中:
elseif request("action")="type1" then //第23行
dim mainurl,main,mainstr
mainurl=request("mainurl")
main=trim(checkstr(request("main")))
response.clear()
mainstr=""
If Len(memName)>0 Then
mainstr=mainstr&" "&main&""程序对于输出变量mainurl和main没有过滤导致xss漏洞的产生。在同文件42行代码类似
漏洞利用:
http://www.target.com/Action.asp?action=type1&mainurl=xxx">[XSS]
解决方案:
厂商补丁:
PJblog
-------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://bbs.pjhome.net/thread-52214-1-1.html
PJBlog个人博客系统Action.asp页面跨站脚本攻击漏洞_漏洞分析_网络安全_
【声明】:本博客不参与任何交易,也非中介,仅记录个人感兴趣的主机测评结果和优惠活动,内容均不作直接、间接、法定、约定的保证。访问本博客请务必遵守有关互联网的相关法律、规定与规则。一旦您访问本博客,即表示您已经知晓并接受了此声明通告。
相关推荐
- python怎样打开文件-Python教程-
- 全民飞机大战新版活动 登陆送大礼_手机游戏_游戏攻略_
- 炉石传说卡组推荐 纯蓝白新手法师_手机游戏_游戏攻略_
- 炉石传说卡组推荐 平衡型万金油德鲁伊_手机游戏_游戏攻略_
- 炉石传说卡组推荐 巨人冰法卡组_手机游戏_游戏攻略_
- 炉石传说卡组推荐 土豪牧师卡组_手机游戏_游戏攻略_
- 我叫MT4.0版本狂炫酷霸拽橙卡出世 MT新时代全新开启_手机游戏_游戏攻略_
- 天天飞车新版本刷高分技巧心得 高手玩家刷分小技巧分享_手机游戏_游戏攻略_
- 迷你西游新版本占山为王礼包领取地址_手机游戏_游戏攻略_
- 天天飞车6月11日最新闯关模式叉叉助手刷金币刷体力教程攻略_手机游戏_游戏攻略_