google translate xss
Posted ChaMd5安全团队
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了google translate xss相关的知识，希望对你有一定的参考价值。
身为chamd5最帅的，一直默默无闻的打酱油，不挖洞，也不打ctf，我怕老M打我，发个文章糊弄一下~~~~
今天就讲个一个比较鸡肋，但是有趣的漏洞案例。谷歌翻译的xss漏洞。
谷歌翻译可以直接导入文件，翻译整个文件。这里在导入完解析文件的时候没有过滤导致xss漏洞。
重点来了，xsspayload不是写在文件内容里，而是在字体，字体，字体，字体，字体！！！
新建一个doc文章，字体设置为 " onmousemove='alert(1);'，内容随意，然后保存。这里会提示字体保存成自定义的，在别的设备不可用，不用管它，保存。
然后到 https://translate.google.com，选择翻译文件，上传刚才编辑的doc文件。。。。然后有人敲你家门了，你好，顺丰快递~~~~
以上是关于google translate xss的主要内容，如果未能解决你的问题，请参考以下文章
利用浏览器事件免费谷歌翻译(Google Translate)