中国DOS联盟论坛

中国DOS联盟

-- 联合DOS 推动DOS 发展DOS --

联盟域名：www.cn-dos.net  论坛域名：www.cn-dos.net/forum
DOS，代表着自由开放与发展，我们努力起来，学习FreeDOS和Linux的自由开放与GNU精神，共同创造和发展美好的自由与GNU GPL世界吧！

游客:  注册 | 登录 | 命令行 | 搜索 | 上传 | 帮助 »
中国DOS联盟论坛 » 意见反馈 & 网友交流 » XSS Test
作者:
标题: XSS Test 上一主题 | 下一主题
electronixtar
铂金会员





积分 7493
发帖 2672
注册 2005-9-2
状态 离线
『楼 主』:  XSS Test 使用 LLM 解释/回答一下

This is a XSS test
Code by est, electronicstar@126.com

EDIT: Code removed by Roy.

Last edited by Roy on 2007-2-11 at 11:17 PM ]





C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
2007-2-12 06:11
查看资料  发送邮件  发短消息  网志   编辑帖子  回复  引用回复
electronixtar
铂金会员





积分 7493
发帖 2672
注册 2005-9-2
状态 离线
『第 2 楼』:   使用 LLM 解释/回答一下

哎，论坛的提示符界面给各位有心人提供了方便之路，阿门，善哉善哉


我建议Wengier还是不要开放新建/编辑帖子功能，其实Web编程不只是读取数据库～～～

Last edited by electronixtar on 2007-2-12 at 06:17 AM ]





C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
2007-2-12 06:13
查看资料  发送邮件  发短消息  网志   编辑帖子  回复  引用回复
vkill
金牌会员





积分 4103
发帖 1744
注册 2006-1-20
来自 甘肃.临泽
状态 离线
『第 3 楼』:   使用 LLM 解释/回答一下

跳出几个错误窗口，est是你在做什么吗？


2007-2-12 06:42
查看资料  发送邮件  访问主页  发短消息  网志   编辑帖子  回复  引用回复
namejm
荣誉版主

batch fan


积分 5226
发帖 1737
注册 2006-3-10
来自 成都
状态 离线
『第 4 楼』:   使用 LLM 解释/回答一下

　　看来得高度关注一下安全性呀。




尺有所短，寸有所长，学好CMD没商量。
考虑问题复杂化，解决问题简洁化。
2007-2-12 07:21
查看资料  发短消息  网志   编辑帖子  回复  引用回复
electronixtar
铂金会员





积分 7493
发帖 2672
注册 2005-9-2
状态 离线
『第 5 楼』:   使用 LLM 解释/回答一下

哪个 _discuz_pw 就是你的密码 MD5 后的值，我加几条语句你的密码就到我手里了，嘎嘎





C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
2007-2-12 08:00
查看资料  发送邮件  发短消息  网志   编辑帖子  回复  引用回复
namejm
荣誉版主

batch fan


积分 5226
发帖 1737
注册 2006-3-10
来自 成都
状态 离线
『第 6 楼』:   使用 LLM 解释/回答一下

Originally posted by electronixtar at 2007-2-11 19:00:
哪个 _discuz_pw 就是你的密码 MD5 后的值，我加几条语句你的密码就到我手里了，嘎嘎

　　est 是个危险分子，建议删此ID封此IP肉体消灭此boy。




尺有所短，寸有所长，学好CMD没商量。
考虑问题复杂化，解决问题简洁化。
2007-2-12 11:34
查看资料  发短消息  网志   编辑帖子  回复  引用回复
namejm
荣誉版主

batch fan


积分 5226
发帖 1737
注册 2006-3-10
来自 成都
状态 离线
『第 7 楼』:   使用 LLM 解释/回答一下

　　Roy动作够快，est 从此躲过一劫，只可惜站长没来得及测试，呵呵。




尺有所短，寸有所长，学好CMD没商量。
考虑问题复杂化，解决问题简洁化。
2007-2-12 14:57
查看资料  发短消息  网志   编辑帖子  回复  引用回复
Wengier
系统支持

“新DOS时代”站长


积分 27736
发帖 10521
注册 2002-10-9
状态 离线
『第 8 楼』:   使用 LLM 解释/回答一下

Web编程当然不只是读取数据库了（可没有那么简单哦）。比如说论坛的DOS命令提示符中读取数据库相关代码部分只占总程序的10%左右而已，余下部分都是其它代码。

DOS命令提示符界面中其实已有许多判断特殊情况的代码，比如防止许多形式的JS injection、SQL injection等，以避免这类攻击。我试过网上的一些CSS（Cross-site scripting，又称XSS）演示代码，说是嵌入后可以执行JS代码，而我在命令提示符界面中发帖测试发现都没有效果（因为已被屏蔽了）。但是由于CSS（或XSS）形式的多样性，当然不可能已经完全无懈可击了。只有发现问题后才可能进行解决，就好比当时qzwqzw等人发现并报告问题后不久就被解决那样。如果发现有这样的问题建议将代码通过短信等方式发送，以避免有人利用，同时也可以迅速得到相应的防范或解决。

EDIT: 后根据Roy提供的原帖删除之前的代码测试，发现问题其实并不会在命令行界面下出现，只会在论坛GUI界面下出现，因为GUI界面将命令行界面的标题未经处理后直接调用了，使得GUI界面下可以运行一些脚本（而命令行界面下则被自动屏蔽了所以不会运行）。可见命令行界面的安全性其实更高，只是两者之前的标题处理方法原先有些许不兼容而造成隐患。现已将兼容性问题修正。




Wengier - 新DOS时代

欢迎大家来到我的“新DOS时代”网站，里面有各类DOS软件和资料，地址：
http://wendos.mycool.net/

E-Mail & MSN: wengierwu AT hotmail.com （最近比较忙，有事请联系DOSroot和雨露，谢谢！）

2007-2-12 17:05
查看资料  发送邮件  访问主页  发短消息  网志  OICQ (29206679)  编辑帖子  回复  引用回复
Roy
管理员

專業島民



积分 4869
发帖 1633
注册 2002-12-10
状态 离线
『第 9 楼』:  CSS Test 使用 LLM 解释/回答一下

CSS Test




我的網站：http://mw16.2ya.com/ 我的網誌: http://scrappedblog.blogspot.com/
~
我的Winamp正在播放的歌曲:
2007-2-12 22:28
查看资料  发短消息  网志   编辑帖子  回复  引用回复
electronixtar
铂金会员





积分 7493
发帖 2672
注册 2005-9-2
状态 离线
『第 10 楼』:   使用 LLM 解释/回答一下

这下有安全感了，嘎嘎～～





C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
2007-2-18 07:32
查看资料  发送邮件  发短消息  网志   编辑帖子  回复  引用回复
electronixtar
铂金会员





积分 7493
发帖 2672
注册 2005-9-2
状态 离线
『第 11 楼』:   使用 LLM 解释/回答一下

Wengier和Roy的确厉害


P.S. 我也想弄一个“我的Foobar正在播放的歌曲”，不知道Roy可否透露一下这方面的信息？基本原理是什么呢？





C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
2007-2-18 07:32
查看资料  发送邮件  发短消息  网志   编辑帖子  回复  引用回复
Roy
管理员

專業島民



积分 4869
发帖 1633
注册 2002-12-10
状态 离线
『第 12 楼』:   使用 LLM 解释/回答一下

Originally posted by electronixtar at 2007-2-17 18:32:
Wengier和Roy的确厉害


P.S. 我也想弄一个“我的Foobar正在播放的歌曲”，不知道Roy可否透露一下这方面的信息？基本原理是什么呢？

用AMIP自己架一個
http://amip.tools-for.net/wiki/

或是用ViralSound.com的服務吧
http://www.viralsound.com/




我的網站：http://mw16.2ya.com/ 我的網誌: http://scrappedblog.blogspot.com/
~
我的Winamp正在播放的歌曲:
2007-2-21 08:28
查看资料  发短消息  网志   编辑帖子  回复  引用回复
electronixtar
铂金会员





积分 7493
发帖 2672
注册 2005-9-2
状态 离线
『第 13 楼』:   使用 LLM 解释/回答一下

thank you





C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
2007-2-21 09:54
查看资料  发送邮件  发短消息  网志   编辑帖子  回复  引用回复

请注意：您目前尚未注册或登录，请您注册或登录以使用论坛的各项功能，例如发表和回复帖子等。


可打印版本 | 推荐给朋友 | 订阅主题 | 收藏主题



论坛跳转:  



[ 联系联盟系统管理团队 - 中国DOS联盟 ]

Sponsored by ifanr Inc | © 2001-2023