Vừa rồi tôi có đọc một bài viết trên Tuổi trẻ với nội dung Lozi.vn nhận đầu tư triệu đô nên cũng tò mò muốn xem trang web của họ thế nào, nhưng có vẻ Lozi cũng chưa quan tâm nhiều đến bảo mật web, họ không dùng bất kỳ bộ lọc dữ liệu nào để ngăn chặn XSS.
Như chúng ta đã biết thì lỗi XSS có thể khai thác để lấy cookies từ đó đánh cắp tài khoản người dùng, fake login page, đánh lừa người dùng cài đặt các phần mềm độc hại (viruses, spyware, etc), clickjacking attack…

Đây là các bước tôi làm để phát hiện ra lỗi, hy vọng sẽ giúp các bạn tester có thể hiểu thêm và kiểm tra lỗi XSS cho sản phẩm của về mình sau.

1. Đầu tiên tôi vào trang Lozi: http://lozi.vn/
2. Gõ “testing” vào khung tìm kiếm để kiểm tra thử URL parameter là gì. Kết quả URL hiện như sau:

3. Chèn code để thực thi một popup “Attacked”.

Site đã bị dính lỗi do Lozi đã không dùng bộ lọc (XSS Filters) nào để hạn chế việc thực thi các mã độc.

* Tôi đã report đến Lozi lỗi này, hy vọng họ sẽ fix sớm.
* Bài viết chỉ mang tính tham khảo về kiểm thử XSS, bạn phải tự chịu trách nhiệm nếu dùng vào mục đích xấu.
——
Update: Lozi.vn đã fix lỗi này sau khi nhận được thông báo.