# itsourcecode Payroll Management System XSS 漏洞报告 #5 ### 漏洞概述 * **产品名称:** Payroll Management System * **漏洞类型:** 跨站脚本 (Cross-site Scripting, XSS) * **描述:** 在 Payroll System 管理面板中识别出一个 XSS 漏洞。攻击者可通过 `page` URL 参数注入恶意脚本，导致敏感数据泄露、会话劫持或恶意内容传播。该漏洞需管理员权限利用，属于存储型 XSS。 * **根本原因:** URL 参数中的用户输入未经过转义，直接输出至页面。 * **影响:** 会话劫持、未授权访问、数据泄露、恶意内容传播。 ### 影响范围 * **受影响文件:** `admin/view-employee.php` * **URL:** `https://itsourcecode.com/payroll-system/admin/view-employee.php` ### 修复方案 * **输入验证:** 拒绝特殊字符，采用白名单机制。 * **输出编码:** 对输出内容进行 HTML 实体编码与 JavaScript 编码。 * **安全标头:** 部署 Content-Security Policy (CSP) 和 X-Content-Type-Options。 ### 利用步骤与代码 (POC) **复现步骤:** 1. 访问 `https://itsourcecode.com/payroll-system/admin/view-employee.php` 2. 检查并修改 URL 中的 `page` 参数 **Payload 示例:** ```text ?page=alert(document.domain) ?page= ?page= ```