Apache Tomcat DOS设备名存在跨站脚本执行攻击发布时间：2002-07-15 更新时间：2002-07-15 严重程度：中 威胁程度：用户敏感信息泄露 错误类型：输入验证错误 利用方式：服务器模式 BUGTRAQ ID：5194 受影响系统 Apache Software Foundation Tomcat 4.0.3详细描述 WINDOWS下的Apache Tomcat 4.0.3 WEB服务程序对用户输入缺少过滤，可导致攻击者进行跨站脚本执行攻击。 当请求一DOS设备文件名时，Tomcat会出现异常和响应错误信息，由于在生成错误页面的时候没有检查攻击者提交的数据，攻击者可以构造包含恶意脚本代码的请求，当其他用户查看时可使脚本代码在用户浏览器上执行，造成COOKIE信息泄露。 测试代码 tomcat-server/COM2.IMG%20src= "Javascript:alert(document.domain)" 解决方案 无 相关信息 Matt Moore <matt@westpoint.ltd.uk>. 参考：http://online.securityfocus.com/archive/1/281360 |
