发现 咸鱼好久没有更新内容，于是昨天想着来记录下最近的事情，结果上来发现网站页脚出现了奇怪的友链，于是登录进后台，元素审查一看，居然有人给我插了一条 XSS 进去了…… 再一看网络记录，可以，我的 cookie 已经被上传了…… 赶紧把 token 改了，然后临时把管理页删了…… 溯源 搞完在思考，为什么这里会有这么严重的问题。首先回到友链插件上，没想到这个作者居然显示文字的时候没有做任何安全性字符过滤，导致了 xss 的可能。 但是为何数据会出现在我的库里呢？想来想去没想通，于是顺手看了下友链插件的提交数据，然后把表单复制出来，去除 cookie 信息后从控制台直接 curl 提交...