WooYun.org

好吧我承认我是无意中发现的，然后才跟踪出来问题的。
1、在首页发微博，截获包然后修改。

content=test&isRetweet=0&replyOriginal=0&replyIt=0&flag=0&imageUrl=&voteUrl=bbb"><>

修改了voteUrl参数为bbb"><>，然后提交。
2、回到首页，已经发布了一条微博。但是在Burp中有一个下面这样的请求：
http://163.fm/getOriginal?callback=jQuery16109319937340915203_1348642196756&q=T7n6r0L&_=1348642200976
（这个地址是我后来抓取的，不过已经能够说明问题了）
内容为
jQuery16109319937340915203_1348642196756("bbb"><>");
这是一个jsonp的请求，但是问题来了，这个数据没有进行任何处理。并且这段代码肯定是要加载到首页作为js代码执行的，我们构造闭合callback的代码，后面再插入我们自己的js代码肯定能够在首页执行的。
3、然后在发送一条微博，voteUrl参数改为");alert(document.cookie);//，再次访问首页，发现没有弹框，也没有和之前类似的请求了。不过我们之前忽略一个问题就是，content这个参数为微博的内容，但是我们发的微博却包含一个网易微博的短链接地址 http://163.fm/T7n6r0L ，鼠标移到上面，奇迹出现，弹出了我们插入的js代码。
4、voteUrl这个参数从字面上理解应该是投票地址，初步分析是网易微博没有对该参数校验就直接转换为短链接地址。从http://163.fm/getOriginal?callback=jQuery16109319937340915203_1348642196756&q=T7n6r0L&_=1348642200976这个地址返回的内容也能够判断出，传入到callback的参数就是我们voteUrl的值。
5、执行了js代码，但是并不知道为什么执行？先在firebug中查找getOriginal，在
http://img2.cache.netease.com/t/cssjs/439756/script/page/home.js
中有找到：

define("utils/DataSource",
function(a, b, c) {
	var d = a("external/jquery"),
	e = a("model/UserData"),
	f = a("utils/log/Logger"),
	g = {
		keyFrom: null,
		requestMap: {
			longUrl: {
				url: "http://163.fm/getOriginal",
				login: !1
			},

这个只是定义，在home.js中再查找longUrl，有如下代码：

define("task/shortURL",
function(a, b, c) {
	var d = a("task/TaskManager"),
	e = a("task/Task");
	d.add(new e("shortURL",
	function() {
		var b = a("external/jquery"),
		c = a("utils/DataSource");
		b(document.body).delegate(".short-url:not(.processed)", "mouseenter",
		function(a) {
			var d = b(a.target),
			e = d.addClass("processed").text();
			if (e.indexOf("http://163.fm") === 0) {
				var f = e.substr(14);
				c.get("longUrl", {
					q: f
				},
				function(a) {
					d.attr("title", a)
				},
				"jsonp")
			}
		})
	}))
});

在上面的代码中我们大致可以知道问题产生的原因：
a) 修改参数voteUrl发微博
b) voteUrl会转换成一个短链接地址，短链接对应的长链接地址为voteUrl的值
c) 微博中包含这个短链接地址，当鼠标移动到短链接地址会触发mouseenter事件
d) 响应mouseenter事件后会先取短链接后面的7个字符，把这7个字符作为q参数的值，然后通过ajax去http://163.fm/getOriginal请求资源。在这一步中执行我们的js代码。
e) 最后把短链接所对应真是的长链接地址放到微博中a标签的title属性。