xcar极品存储xss一枚 - 网站安全 - 自学php

咱老xcar人了，我就不做破坏了，发现后直接报上来吧。不去套管理员cookie了。

完全没检查和过滤用户的输入，导致的结果是，只要你敢点我名字。。。

 

http://my.xcar.com.cn/myspace.php

完全没过滤用户输入，个人标签那里的15个汉字/30个英文，

更恶劣的是写心情，100多字啊，啥script不可以写。

导致的结果就是，只要进入我的个人空间，铁定中标。要让人进入自己的空间，在目前xcar的机制下，太容易了。 而且，只要你关注我，那个一层层的病毒般的扩展速度啊。。

 

 

修复方案：

过滤非法输入。

查看更多关于xcar极品存储xss一枚 - 网站安全 - 自学php的详细内容...