XSS注入 sessionId json xml

检查配置界面 XSS注入

1 首先发现session id 不是http only的 (一般java框架都会自动加, 比如shiro)
给goahead 加上

将 http.c 文件的 websGetSession 函数 的 

websSetCookie(wp, WEBS_SESSION, wp->session->id, "/", NULL, 0, 0);

改为:

websSetCookie(wp, WEBS_SESSION, wp->session->id, "/", NULL, 0, WEBS_COOKIE_HTTP);

2 使用angularJS, 都是强类型, 只有名称和描述字段是字符串
输入   "/><script>alert(document.cookie)</script>   测试
保存, 文件也保存成功, json没有问题, 但是XML有问题, 没有对输入的进行转码处理

所以:

      2.1  json转xml字符串的地方, 字符串类型encodeURI 

      2.2 xml转json, 字符串类型decodeURI

如果全用json, 太爽了, 不用考虑XSS