微信存储xss绕过过滤可弹窗可钓鱼他人账号
之前看到某大牛爆出微信<a>的xss，随后又试了试，虽然过滤了href，但是还能绕过过滤。在两个账号上面进行测试。。。
首先看一下微信版本，5.2，最新版本：
然后试一试之前大牛所谓的代码：
href="javascript"的那个直接就被过滤了，那就试一试href="url"的情况吧：
rt，本地没有问题，但是登陆另一个账号就不行了，url被过滤了。。。
打开消息看看，成了这个样子。。。
于是突发奇想，试一试两个href，他会不会只过滤一个呢？发送代码：
<a href=www.myhack58.com href=www.myhack58.com>baidu</a>
登录另一个账号，结果正如我所猜想。。。
打开连接
从显示的连接看，的确没有过滤第一个href，结果把www.myhack58.com" href="当做链接，那么接下来就好说了。。。用这个代码来突破限制：
<a href="javascript:window.alert(1);" href="任意url">xss</a>
这里有三个关键点，一个是js代码后的;必不可少，还有就是第二个url一定要正确，只要可以被过滤即可，第三个是”xss“处一定要写点东西，否则就会失败。。。然后登录另一个账号，我弹~
利用跳转钓鱼也so easy了
<a href="javascript:window.location.href='钓鱼url';" href="任意url">xss</a>
发送代码：
注意这里的钓鱼url前一定要加http://，否则无法就会失败。。。
登录另一个账号，果断跳转。。。
修复方案：
再过滤吧。。。