最近在家没接到新的项目，实在闲得无聊。刚好今天有朋友询问怎么拿站的一些问题，心里痒痒的。于是便想拿@红薯的站来练练手，忘老大不好见怪。
首先点击进入看看破解成功后的效果：》》》》》https://www.oschina.net/question/1388294_2309374
说到web安全，那么作为web程序员，先想到的肯定是大名鼎鼎的xss(跨站脚本攻击)了，特别是像开源中国这种交流类的站点更是病毒重灾区。
好了，废话不多说，直接进入正题，，嘟嘟嘟>>>>>>上车啦。。。。
1.首先打开首页，先拿动弹练练手
第一次测试失败，唉。看样子已经做了防xss限制了，此地无雷，，换一块新的雷区试试。
2.接下来大家经常用的提问板块了。
在发帖页面，先点击富文本编辑器，让编辑器获取焦点，然后右击，打开元素审查模式
因为编辑器会过滤掉一些简单的xss攻击手段，所以我们需要将官方使用的富文本编辑器换成浏览器自带的textarea编辑器
先来一个简单的 img onload 事件试试水
保存提交，到帖子页面查看源代码
继续，试试官方有没有对embed标签做限制
再次查看帖子页面源代码，发现官方竟然没有对embed标签做出限制。哈哈，看来今天晚上会有不小的收获
正常的img onload 事件已经行不通了，那么我们需要换一种方式进行了，使用svg格式的图片试试水
随便找一张svg格式的图片，》》》》》》https://www.pngtosvg.com 进入这个网址可以将普通的图片转成svg格式
拿到svg格式的图片后，将这个文件上传到我们自己的服务器，因为只有上传到我们自己的服务器，我们就可以编辑自定义的js代码啦
https://static.ithome.io/image2vector.svg这个图片是我们自己服务器上的远程请求地址，
将这个地址填写到帖子里面的embed标签，然后保存看效果
最后查看帖子内容，已经能正常加载svg格式的图片了
最后就是ssh登录到我们自己的服务器上，使用vim编辑器编辑刚刚上传的svg格式的图片
编辑我们自己的js代码
最后来看看效果
