中国DOS联盟

-- 联合DOS 推动DOS 发展DOS --

联盟域名：www.cn-dos.net　论坛域名：www.cn-dos.net/forum
DOS，代表着自由开放与发展，我们努力起来，学习FreeDOS和Linux的自由开放与GNU精神，共同创造和发展美好的自由与GNU GPL世界吧！

游客 注册 登录 会员 网志 搜索 命令提示符 Bash 上传 统计
中国DOS联盟论坛
现在时间是 2026-06-29 17:39
欢迎新会员 548840　 RSS
共 48,003 主题排行 / 350,080 发帖 / 今日 0 篇 / 48,221 会员排行 不转换/ 简体中文/ 繁體中文（台灣）/ 繁體中文（香港）
中国DOS联盟论坛 » 意见反馈 & 网友交流 » XSS Test 查看 1,055　回复 12
推荐给朋友 分享到 X 分享到 微博 分享到 Telegram 分享到 QQ空间 复制链接 二维码
楼 主 XSS Test 发表于 2007-02-12 06:11　·　 中国 四川 成都 教育网
electronixtar
铂金会员
★★★★
积分 7,493
发帖 2,672
注册 2005-09-02 00:00
20年会员
UID 42173
性别 男
状态 离线
This is a XSS test
Code by est, electronicstar@126.com

EDIT: Code removed by Roy.

[ Last edited by Roy on 2007-2-11 at 11:17 PM ]

C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
第 2 楼 发表于 2007-02-12 06:13　·　 中国 四川 成都 教育网
electronixtar
铂金会员
★★★★
积分 7,493
发帖 2,672
注册 2005-09-02 00:00
20年会员
UID 42173
性别 男
状态 离线
哎，论坛的提示符界面给各位有心人提供了方便之路，阿门，善哉善哉


我建议Wengier还是不要开放新建/编辑帖子功能，其实Web编程不只是读取数据库～～～

[ Last edited by electronixtar on 2007-2-12 at 06:17 AM ]

C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
第 3 楼 发表于 2007-02-12 06:42　·　 中国 甘肃 兰州 电信
vkill
金牌会员
★★★★
积分 4,103
发帖 1,744
注册 2006-01-20 13:00
20年会员
UID 49241
性别 男
来自 甘肃.临泽
状态 离线
跳出几个错误窗口，est是你在做什么吗？
第 4 楼 发表于 2007-02-12 07:21　·　 中国 广东 电信
namejm
荣誉版主
★★★★
batch fan
积分 5,226
发帖 1,737
注册 2006-03-10 00:38
20年会员
UID 51697
来自 成都
状态 离线
　　看来得高度关注一下安全性呀。
尺有所短，寸有所长，学好CMD没商量。
考虑问题复杂化，解决问题简洁化。
第 5 楼 发表于 2007-02-12 08:00　·　 中国 四川 成都 教育网
electronixtar
铂金会员
★★★★
积分 7,493
发帖 2,672
注册 2005-09-02 00:00
20年会员
UID 42173
性别 男
状态 离线
哪个 _discuz_pw 就是你的密码 MD5 后的值，我加几条语句你的密码就到我手里了，嘎嘎

C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
第 6 楼 发表于 2007-02-12 11:34　·　 中国 广东 电信
namejm
荣誉版主
★★★★
batch fan
积分 5,226
发帖 1,737
注册 2006-03-10 00:38
20年会员
UID 51697
来自 成都
状态 离线
Originally posted by electronixtar at 2007-2-11 19:00:
哪个 _discuz_pw 就是你的密码 MD5 后的值，我加几条语句你的密码就到我手里了，嘎嘎

　　est 是个危险分子，建议删此ID封此IP肉体消灭此boy。
尺有所短，寸有所长，学好CMD没商量。
考虑问题复杂化，解决问题简洁化。
第 7 楼 发表于 2007-02-12 14:57　·　 中国 广东 电信
namejm
荣誉版主
★★★★
batch fan
积分 5,226
发帖 1,737
注册 2006-03-10 00:38
20年会员
UID 51697
来自 成都
状态 离线
　　Roy动作够快，est 从此躲过一劫，只可惜站长没来得及测试，呵呵。
尺有所短，寸有所长，学好CMD没商量。
考虑问题复杂化，解决问题简洁化。
第 8 楼 发表于 2007-02-12 17:05　·　 加拿大 Bell
Wengier
系统支持
★★★★★★
“新DOS时代”站长
积分 27,736
发帖 10,521
注册 2002-10-09 12:00
23年会员
UID 9
状态 离线
Web编程当然不只是读取数据库了（可没有那么简单哦）。比如说论坛的DOS命令提示符中读取数据库相关代码部分只占总程序的10%左右而已，余下部分都是其它代码。

DOS命令提示符界面中其实已有许多判断特殊情况的代码，比如防止许多形式的JS injection、SQL injection等，以避免这类攻击。我试过网上的一些CSS（Cross-site scripting，又称XSS）演示代码，说是嵌入后可以执行JS代码，而我在命令提示符界面中发帖测试发现都没有效果（因为已被屏蔽了）。但是由于CSS（或XSS）形式的多样性，当然不可能已经完全无懈可击了。只有发现问题后才可能进行解决，就好比当时qzwqzw等人发现并报告问题后不久就被解决那样。如果发现有这样的问题建议将代码通过短信等方式发送，以避免有人利用，同时也可以迅速得到相应的防范或解决。

EDIT: 后根据Roy提供的原帖删除之前的代码测试，发现问题其实并不会在命令行界面下出现，只会在论坛GUI界面下出现，因为GUI界面将命令行界面的标题未经处理后直接调用了，使得GUI界面下可以运行一些脚本（而命令行界面下则被自动屏蔽了所以不会运行）。可见命令行界面的安全性其实更高，只是两者之前的标题处理方法原先有些许不兼容而造成隐患。现已将兼容性问题修正。
Wengier - 新DOS时代

欢迎大家来到我的“新DOS时代”网站，里面有各类DOS软件和资料，地址：
http://wendos.mycool.net/

E-Mail & MSN: wengierwu AT hotmail.com （最近比较忙，有事请联系DOSroot和雨露，谢谢！）

第 9 楼 <span style='color:red'>CSS Test</span> 发表于 2007-02-12 22:28　·　 中国 香港 城市电讯有限公司
Roy
管理员
★★★★
專業島民
积分 4,869
发帖 1,633
注册 2002-12-10 00:00
23年会员
UID 465
性别 男
状态 离线
CSS Test
我的網站：http://mw16.2ya.com/ 我的網誌: http://scrappedblog.blogspot.com/
~
我的Winamp正在播放的歌曲:
第 10 楼 发表于 2007-02-18 07:32　·　 中国 四川 成都 电信
electronixtar
铂金会员
★★★★
积分 7,493
发帖 2,672
注册 2005-09-02 00:00
20年会员
UID 42173
性别 男
状态 离线
这下有安全感了，嘎嘎～～

C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
第 11 楼 发表于 2007-02-18 07:32　·　 中国 四川 成都 电信
electronixtar
铂金会员
★★★★
积分 7,493
发帖 2,672
注册 2005-09-02 00:00
20年会员
UID 42173
性别 男
状态 离线
Wengier和Roy的确厉害


P.S. 我也想弄一个“我的Foobar正在播放的歌曲”，不知道Roy可否透露一下这方面的信息？基本原理是什么呢？

C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
第 12 楼 发表于 2007-02-21 08:28　·　 中国 香港 城市电讯有限公司
Roy
管理员
★★★★
專業島民
积分 4,869
发帖 1,633
注册 2002-12-10 00:00
23年会员
UID 465
性别 男
状态 离线
Originally posted by electronixtar at 2007-2-17 18:32:
Wengier和Roy的确厉害


P.S. 我也想弄一个“我的Foobar正在播放的歌曲”，不知道Roy可否透露一下这方面的信息？基本原理是什么呢？

用AMIP自己架一個
http://amip.tools-for.net/wiki/

或是用ViralSound.com的服務吧
http://www.viralsound.com/
我的網站：http://mw16.2ya.com/ 我的網誌: http://scrappedblog.blogspot.com/
~
我的Winamp正在播放的歌曲:
第 13 楼 发表于 2007-02-21 09:54　·　 中国 四川 成都 电信
electronixtar
铂金会员
★★★★
积分 7,493
发帖 2,672
注册 2005-09-02 00:00
20年会员
UID 42173
性别 男
状态 离线
thank you

C:\>BLOG http://initiative.yo2.cn/
C:\>hh.exe ntcmds.chm::/ntcmds.htm
C:\>cmd /cstart /MIN "" iexplore "about:<bgsound src='res://%ProgramFiles%\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll/10/5432'>"
可打印版本 | 订阅主题 | 收藏主题
论坛跳转:
[ 联系联盟系统管理团队 - 中国DOS联盟 ]

Sponsored by ifanr Inc | © 2001–2023