唯爱一世交友系统WallReg3.asp、WallReg5.asp跨站脚本漏洞

唯爱一世交友系统WallReg3.asp、WallReg5.asp跨站脚本漏洞 受影响系统： 
唯爱一世交友系统通用
描述： 
《唯爱一世交友系统》是一款基于WEB的交友网络开源程序。

唯爱一世交友系统中的WallReg3.asp、WallReg5.asp没有正确过滤用户提交的内容输入，远程安全者可以利用这个漏洞获得目标用户敏感信息如COOKIE验证信息和插入恶意代码，以达到安全效果。

当用户远程提交风险代码时，wallreg3.asp和wallreg5.asp都对"content"变量中输入的内容没有严格过滤，导致安全者可以注入恶意脚本代码，当其他用户查看此链接时，恶意代码在用户浏览器上执行，可获得基于验证的COOKIE信息和执行恶意代码。

<*来源：qhkest （qimeng180@hotmail.com）

链接：http://qmsqlwebshell.7766.org/
*>

测试方法： 

警 告

以下程序(方法)可能带有安全性，仅供安全研究与教学之用。使用者风险自负！

-------------------------WallReg3.asp-------------------------

<script>alert(’XSS_Vuln_Testing’)</script>

---------------------------------End-----------------------------

建议： 

官方补丁：

《唯爱一世交友系统》
---------
目前官方还没有提供补丁或者升级程序，建议使用以下方法修补漏洞或用户随时关注官方主页以获取最新版本：
http://www.vi14.com/

临时修补方法：
-------------------------WallReg3.asp-------------------------
Dim style,content
style=Request.Form("Style")
content=Request.Form("content")
content=Replace(content,"<","&lt;")
content=Replace(content,">","&gt;")
content=Replace(content,vbCrLf,"")
content=BF.GetStrLen(content,200)&"<br>----"&Now
---------------------------------End-----------------------------

-------------------------WallReg5.asp-------------------------
style=Replace(Request.Form("Style"),"’","’’")
content=Replace(Request.Form("Content"),"’","’’")
content=Replace(content,"<","&lt;")
content=Replace(content,">","&gt;")
content=Replace(content,vbCrLf,"")
content=BF.GetStrLen(content,200)&"<br>----"&Now
---------------------------------End-----------------------------