公布一年前发现阿里旺旺的一个xss漏洞的细节。

概述 能显示表情图片成了现在的聊天软件必备基本功能，这就需要支持展示富文本的控件。 聊天软件主要用到两种富文本格式：RTF和HTML格式。 RTF可以采用RichEdit、HTML可以选择浏览器内核，比如Windows自带的IE内核。 淘宝旺旺用的就是IE内核作为聊天内容展示区，QQ使用的则是RichEdit。 用浏览器内核作为展示的聊天软件，可能就存在被注入JS的风险。 一年前的帖子：http:

>>阅读原文<<