早鸟票卖完了 😳

那怎么和歪果仁交流呢？

雨天 blue

// WTF?

楼上说使用 edu 邮箱作为验证用户是否是学生身份的都是在扯淡。
以 edu.cn 作为查询条件，去泄露出来的数据库（社工库）里一查就有一大堆 ಥ_ಥ
http://ww2.sinaimg.cn/mw690/eacb960fgw1eurnksshnaj20c00ghdj5.jpg

楼主网站多少，没证据有啥好说。
另外楼上一群毫无缘由的瞎起啥哄啊。

flowerpassword

防止别人反代你网站最简单的方法，到JS里写句判断：
if(document.domain != 'www.dmm.com') location.href='http://www.dmm.com/';
楼主慢慢找把：）

存在几处问题，给出几点建议。

几处漏洞：
后台笔记本名处依然存在XSS（但似乎只是self-xss）；
网络文章管理处存在SSRF（探测服务器内网，如：“http://localhost/”、“http://192.168.1.1”）；
删除文章的时候并没有验证用户权限，可以越权删除别人的文章（只需文章的ID）；

危险一点的地方：
笔记的ID可以通过referer被别有用心的人获取到。（引用外站图片时，被引用服务器可以记录到referer，referer中含有笔记ID信息）；
获取到了笔记的ID后，可以拼凑URL直接访问文章内容。这样一来无论是私有还是公开的笔记都是可以被获取到；
可以通过获取到的笔记ID执行上述删除操作。

@picasso250 http://avdanmu.duapp.com/av/33 弹了、弹了，又弹了！

@picasso250 http://avdanmu.duapp.com/av/32 这也弹了

@picasso250 http://avdanmu.duapp.com/av/33 弹弹弹，弹走鱼尾纹:-D

被黑了就呵呵了 :-D

;-D 见过楼主了。

52102

@felinx PHPer工作半年，对web安全更感兴趣。学习python是为了在渗透测试的过程中写些小脚本，现在只能写点基础爬虫，还没深入。不知道您所说项目是什么？

我常去的一个网站——v2ex，听说站长年收入百万。

@aheadlead $14.80 的税……

MBP只有120G，已经用了115G。每次东西都得移动到移动磁盘，不能忍了。