WooYun.org

来买点菜。。。

@xsjswt 我来学习学习

@小胖胖要减肥 一个最简单的sql注入，没啥好学习的

@xsjswt 为什么你能看到我发的漏洞，奇怪？

厂商小气，才给10分，哼哼

@open sql注入给高。与你的标题不符，你指出的这个业务并不是关键业务。技术上也没有特别值得学习的地方。不过还是非常感谢你指出我们工作的疏漏，欢迎你继续关注赶集的安全问题。如果你有赶集相关的其他问题，像反射xss、信息泄露这类乌云平台不审核的，可以联系我们处理。视问题的严重程度，问题确认后可能有小奖品。蛤蛤

@xsjswt 先说什么奖品撒

@小胖胖要减肥 有毛驴公仔，水杯，鼠标什么的。大件的东西还在路上。你可以上赶集婚恋、赶集交友、瓜子社区什么的找找妹纸。

@xsjswt 我觉得你这样说让我很伤心。技术上的确没学习的地方我承认，那是因为我只写了SQL注入，没想着要去利用，但不代表没利用价值，给10分是不是欠妥。我想这里虽然没有用户密码，也做了一些限制，但是因为是交互的地方，要利用还是相当好利用的吧，而且这个数据库的用户权限也是比较大的。

@open WooYun: 点评网主站漏洞打包详解+手把手教你写xss蠕虫 你看这个才8分。。。。那个入侵内网才9分 WooYun: 大众点评内网被渗透，涉及数百台服务器

@open 还有一般漏洞评分有系数的，比如危害*利用难度*影响

@open 如果你要说利用的问题，这个就超出漏洞本身的范畴了。利用要看放到谁手上，白帽子不会去利用；黑帽子也要看他的势力。最简单，一个反射xss，放在一般人手里面可能什么用都没有。但是放在控制了大量论坛的黑帽子手里面，问题就不一样了。你给我们爆的是漏洞，而不是这个这个漏洞已经被外面黑帽子利用的事件。对于前者，10分我觉得不是特别亏了，你发现这个问题成本也不太大。对于后者，我觉得看具体情况，有时候给40rank都不为过，因为他影响公司业务了。骚年，你要区分好漏洞和漏洞的利用两个不同的概念啊。

@open 别人直接联系我们sql注入，我们也就给个公仔+鼠标，你换算一下，10WB差不多也就是公仔鼠标了吧。这毕竟不是入侵事件，也不是被恶意利用的事件。对于@小胖胖要减肥 说的xss蠕虫，内网被渗透，那个作为安全事件，给10rank以内我觉得不妥当。

@open 如果按照你的理解，每个漏洞都要按照利用后果来评分，那么，所有的反射xss应该都在15rank以上。对么。但是你参考一下乌云上的其他反射xss，10rank以上的都比较少了

@xsjswt 这哥们是赶集的人？哈哈二哥的XSS犀利啊，10以上的估计他很多哦。其它人的话···可能相对少了

@wefgod xss本身就不值10 rank，二哥的值是因为带分析，带思路，带技术方法。乌云本身不仅仅是一个漏洞提交平台，同时也是一个交流学习的平台。所以我觉得为思路、技术、方法、修复方案各类值得学习的东西加rank没问题。

@xsjswt 京东存储性xss才给我5rank。。。更别说10了。

@我了个去 存储型只是分类，没有利用场景、被利用的事件、方法、分析、修复方案，给5分差不多了。5wb=50 rmb了

@xsjswt xsser.me是500rmb……

@wefgod 我也觉得有点偏贵

@xsjswt 本来很想用的，但是看看，还是暂时算了……

@open 您好，可以私信么，有人托我找你做项目

@colgator 什么项目？

@open 我不晓得伐，Q1250883735，你加我下，我把那人QQ给你

擦，原来是你