cms代码审计练习
1、letter-post 存在xss漏洞
打开写信文件modul/letter/post.php
post 提交进来的数据都经过p8_stripslashes2函数处理
跟踪p8_stripslashes2函数lang/inc/init.php
可以判断magic_qutes 开启时直接使用p8_stripslashes函数，不开启时直接返回输入的字符
继续追踪p8_stripslashes函数
删掉反斜杠，直接返回最原始的输入。导致xss的存在。
2、在线访谈网友留言存在xss
追踪留言板
moudle/interview/add_ask.php
可见传入的参数经过add_ask函数处理，继续追踪
moudle/interview/controller.php
数据一进来就被函数处理，继续追踪valid_data_ask函数
只是处理一下\n 和<br>，所以最终产生xss
3、会员中心存在csrf
之前看到请求的中有csrftoken和referer，后面手动测试了一下是存在csrf的
后面想想csrftoken怎么是放在cookie里面的，按照csrf的攻击套路，是给受害者一个连接利用受害者的cookie去执行连接里的请求。
所以这个csrftoken对于防范csrf攻击是没用的