http://fb.ku6.com/page/submitfb.html
留言反馈页面存在xss,具体哪个字段不记得了。看了下收cookie的时间是15/9。最近在翻各种东西就找出来了。
http://admin.fb.ku6.com/feedback/toFindFeedbackList.action?qq-pf-to=pcqq.c2c
当时在后台页面翻了一下,没找到注入什么的。
带着cookie试了一下st2
root权限,传了shell。
但是访问需要带着cookie,蛋好疼。
使用burpsuite的替换,把user-agent替换成cookie:
然后burpsuite做一下代理,