前几天人人里的跨站攻击脚本

墙外地址：http://lzsblog.appspot.com/%3Fp%3D279002

转载请注明

 

很显然这次事件的责任要归咎于人人。丫的<>你都不过滤，干什么吃的。

 

跨站脚本已经上传到google code 处防止被和谐。地址

http://code.google.com/p/ronaldliu/source/browse/trunk/attack.js

根据对这个脚本的初步分析，可以看出这个脚本能收集的资料包括从http://www.renren.com/profile.do?v=info_ajax&undefined中可以获得的所有信息。相信没有谁会把敏感的信息放在那里。呵呵

这个脚本的亮点在于它精妙的利用了站内信的各种功能，真佩服这位作者能如此详细的了解站内信的各种功能对应的xml和ajax接口。包括发送，删除，获取好友列表等。学习啊。OTZ

这哥们没什么太出格的动作，要是跨站挂个马就有的受了。