1129 web和wap端發版後--部分頁面存在安全漏洞
0181129 web版本部分頁面存在安全漏洞
1.SQL 註入
例如在查詢功能，輸入分號 感嘆號 分號 豎杠 ‘ ! ; | 搜索時，響應結果不正確，應該與圖二的響應結果一致
2.跨站腳本漏洞
持久性XSS(Persistentcross-sitescripting)，指的是惡意腳本代碼被存儲進被攻擊的數據庫，當其他用戶正常瀏覽網頁時，站點從數據庫中讀取了非法用戶存入非法數據，惡意腳本代碼被執行。
這種攻擊類型通常在留言板等地方出現，如下： 
那麽什麽是反射型XSS呢？
如"http://www.jpl.nasa.gov/about_JPL/maps.cfm?departure=lax%22%3Cimg%20src=k.png%20onerror=alert(%22XSSed%20by%20sH%22)%20/%3E"這樣需要欺騙用戶自己去點擊鏈接才能觸發XSS的是反射型XSS
很多人非常鄙視非持久性XSS（反射型XSS），認為這種XSS只能依靠欺騙的手段去騙人點擊，才能讓攻擊正常實施起來。
反射型XSS的漏洞
https://yq.aliyun.com/articles/480157
現在我們來對反射型的XSS三種級別的漏洞進行測試
在low裏，未做任何的驗證 直接提交<script>alert(/xss/)</script>測試
URL:http://192.168.111.146/dvwa/vulnerabilities/xss_r/?name=%3Cscript%3Ealert%28%27xss%27%29%3C%2Fscript%3E
在media裏，只過濾了<script>,那麽我們可以對它繞過去
我們可以提交<SCRIPT>alert(‘xss‘)</SCRIPT>
或者<scri<script>pt>alert(‘xss‘)</script>
URL:http://192.168.111.146/dvwa/vulnerabilities/xss_r/?name=%3CSCRIPT%3Ealert%28%2Fxss%2F%29%3C%2FSCRIPT%3E
對於high的XSS，用了htmlspecialchars，不知道你能不能用什麽方法繞過，如果無法繞過可以參考Discuz的dhtmlspecialchars()函數
3.敏感信息泄露
訪問某個接口地址，可以直接顯示用戶信息，包括手機號全明文顯示，
解決方案：將手機號中間幾位用**代替（138****2345）
1129 web和wap端發版後--部分頁面存在安全漏洞