这次挂马点比较荫蔽，通过重复查看后承认是运用论坛的缝隙刺进了挂马页面。 该缝隙是Discuz论坛针对ed2k协议解析时的一个XSS缝隙[2]，在解析进程论坛会主动对e2dk链接中的文件巨细进行辨认并直接输出，而且未进行过滤，导致呈现了一个存储型XSS。 进犯者运用该缝隙刺进了歹意js脚本代码，调用document.write函数向页面中刺进挂马iframe页面和歹意js脚本。 *** 安全是环绕“缝隙”打开的，针对缝隙的捕捉、运用、修补构成了黑客的江湖。 那些功成名就、挖洞很多的大佬回想自己走过的路，多少都有些李寻欢站在关外雪原回想自已终身兵马征途的感觉。 为了证明她的发现，Yan Zhu经过将她的用户名改为yan向或人发了一份邮件，security@google.com（带有别的的举证）。 你能在她的Twitter 时间轴上看到下面的截屏。 假如方针站点满意条件1和2,可是对方没有存储灵敏信息，也不能履行一些灵敏的操作。 那么装备不妥的crossdomain.xml也引起不了严峻的损害。 可是假如方针站点存在灵敏信息或许具有灵敏操作。 那么不恰当的装备就相当于对恣意站点上的歹意SWF敞开了大门。 举个比如。 这时分，一个www.fake-freebuf.com域下的swf能够绕过同源战略，拜访www.freebuf.com域上一个授权用户能够拜访的恣意 信息。 数据库衔接文件为 ***********/Conn.asp

-Ddomain-crawlcross-sitelinkstoanotherdomain跨域扫描长途主机或是方针主机。