读芯术平台XSS

闲的没事干去读芯术的微信公众号学习AI,发现评论区没有任何的过滤，而且电脑端右键可以查看源码

但是评论区的内容并没有执行的迹象，所以能否成功还不确定。

一开始使用最普通的 alert

<video src=test.mp4 onerror=alert(‘1’);>//视频
<audio src=test.mp3 onerror=alert(‘1’);>//音乐

发现不行，但是出现了图片的样式

这就说明了可以利用！！

从前端随便摘抄了一段现有的弹窗代码

	<div class="chuangti">
		<div class="top"><span>自动化73班的果果帅不帅</span></div>
		<dl class="neirong">
			<dt>
				<a class="quxiao anniu_lan" href="JavaScript:;" onclick="xptc_guanbi();">很帅</a>
				<a class="quxiao anniu_lan" href="JavaScript:;" onclick="xptc_ok();">最帅</a>
			</dt>
			
		</dl>
	</div>

执行成功

手机上的效果

可惜的是本来可以更多的利用的，但是由于之前没有做过微信小程序的相关漏洞，也没做过微信小程序的抓包工作，没有做后续的信息收集和更深层的渗透，就暂且弄一个弹窗罢。考研要紧，考研要紧。

结尾

存储型xss漏洞很危险，每次点击和浏览网页的人都要承担该漏洞的风险，传播起来十分恐怖，但是平台的联系方式始终联系不上。

最后给老师汇报了，行善积德。