社区让 CSRF 了？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3682 天前的主题，其中的信息可能已经有所发展或是发生改变。

昨天晚上登录v2ex，突然发现让黑了。随后微博私信了站长，他说我css开了，可是我昨天只是上传了个头像。css什么的都没有填写。没有使用css,
今天登录上来看了下我的设置，css里面有内容，我肯定。。我css里面没有进行过任何填写！

div { display: none; }
body { background-repeat: no-repeat; background-color: #fff; background-image: url("

"); }

本来今天想看看到底是那篇文章里面有猫腻，，但是，，昨天打开v2的网页太多了。。

哪位大神在玩？：》

CSS

background

微博

10 条回复 • 2014-10-28 13:45:48 +08:00

mornlight

2014-10-28 09:28:22 +08:00

不科学啊，如果真的是帖子里有问题，应该很多人中招才对。

iiusky

2014-10-28 10:33:26 +08:00

@mornlight = =！我页不清楚。。所以问问大家

can

2014-10-28 11:06:34 +08:00

应该不是帖子的问题，是你账号密码被别人知道了吧？

zzNucker

2014-10-28 11:14:49 +08:00

@mornlight XSS，只针对楼主一个人。。。

iiusky

2014-10-28 11:39:32 +08:00

@can =.=
@zzNucker 噗。。。我和他有多大仇

bumz

2014-10-28 13:31:13 +08:00

<form action="http://www.v2ex.com/settings" method="POST">
<input name="use_my_css" value="1">
<textarea name="my_css">
div { display: none; }
body { background-repeat: no-repeat; background-color: #fff; background-image: url("

"); }
</textarea>
<button type="submit">XSRF V2EX</button>
</form>

iiusky

2014-10-28 13:34:02 +08:00

@bumz 呀呀呀亚麻爹

bumz

2014-10-28 13:35:45 +08:00

@iiusky 我試了不行啊，https://workspace.v2ex.com/file/27bc8b42-5e64-11e4-9bdd-f23c91732dc3/xsrf.html

bumz

2014-10-28 13:38:47 +08:00

@iiusky 沒有 once 參數提交不了，所以不能 XSRF。

iiusky

2014-10-28 13:45:48 +08:00

@bumz 是啊好奇怪。