2018年6月11日
bilibili存储型xss (绕过长度限制打乱顺序限制)
摘要： 在个人空间的我的收藏中可编辑视频收藏的名称，之后尝试写入标签。 http://space.bilibili.com/ 发现输出到前端的尖括号被转义了，不过出现了一个json接口，他的Content-Type是html，打开看下内容 http://space.bilibili.com/ajax/fav 阅读全文
posted @ 2018-06-11 09:27 blacksunny 阅读(1990) 评论(0) 推荐(1) 编辑