漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-015903
漏洞标题：利用二维码在web站点制造XSS跨站漏洞
相关厂商：制图网
漏洞作者： Hxai11
提交时间：2012-12-12 12:30
修复时间：2013-01-26 12:31
公开时间：2013-01-26 12:31
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：7
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-12-12： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-01-26： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
二维码跨站，无难度
详细说明：
百度搜索：二维码解码
之后看到如下图，在生成二维码中填入xss跨站语句
![U%]E]3CGB7S(Z6X$~(1LO{F.jpg](http://wimg.zone.ci/upload/201212/12082754770075920c1794b706c14317ac81e885.jpg)
点击生成
复制生成的二维码图片地址
![X7BSL}EN%CT]1~LUD174YZH.jpg](http://wimg.zone.ci/upload/201212/12082907aa1501734d89992ef1992db3e8916c18.jpg)
在二维码解码处点击在线获取，填入二维码图片网址，之后点击获取，再点击解码，就造成了，xss的出现，导致盗取用户cookie
这样就可以盗取制图网用户的cookie了~~~
漏洞证明：
修复方案：
目前针对于二维码的各种攻击越来越多，各个厂商也都应该做好防范，未来二维码攻击将称为趋势
版权声明：转载请注明来源 Hxai11@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝