公佈一年前發現阿里旺旺的一個xss漏洞的細節。

概述 能顯示錶情圖片成了現在的聊天軟件必備基本功能，這就需要支持展示富文本的控件。 聊天軟件主要用到兩種富文本格式：RTF和HTML格式。 RTF可以採用RichEdit、HTML可以選擇瀏覽器內核，比如Windows自帶的IE內核。 淘寶旺旺用的就是IE內核作爲聊天內容展示區，QQ使用的則是RichEdit。 用瀏覽器內核作爲展示的聊天軟件，可能就存在被注入JS的風險。 一年前的帖子：http:

>>阅读原文<<