快到了国庆假期了，忧郁的我始终摆脱不了生活的贫穷，每当假期来临的时候感觉都和自己没什么关系，因为贫穷让我不敢有任何的松懈，只有不停的上班才能给我一点心理暗示：我还在、我还能干活、我还没有颓废、我还有房贷、我还要养家………一系列的场景在脑海里不停翻滚着，伴随着时间的推移终于，国庆如期而至，没办法始终逃脱不了命运的摆布，紧接着的国庆假期各种不爽，各种颓废，唯有做一些与工作相关的才能自我安慰，于是乎，拿起电脑，打开工具，一顿操作猛如虎的代码审计展开。
1、本次审计对象https://fahuo100.cn/官网发布的最新开源版本v1.1 build20210305；
2、打开代码审计工具(依然是我最爱的PHPSTORM)；
3、由于是国庆假期，还得陪伴家人，因此，前两天都是浑浑噩噩的看，也没看出来啥东西，直到第三天，跟我们家那位吵了一架，结果带娃甩手而去自己玩耍，怀着不满的心情，终于在知识的海洋中找到了自我；如下打开link.php，在第45、46行可以看到执行了一个SQL语句，将对应的内容写入数据库，而前面只做了一个判断利用getrs函数(此函数在整个项目中多次被使用且没有做严格过滤)，但此函数并没有对插入的内容进行任何的过滤，因此可能存在漏洞；
4、于是乎打开BP，访问对应的链接地址：/admin/link.php?action=add，提交的参数重有个L_title，尝试插入XSS，返回正常没有报错；
5、打开管理员界面，成功弹窗；由于是写入的后台数据库，因此本次漏洞位存储型XSS，至此结束，提交厂商；
万般的无奈，终究在知识的海洋里寻找到了自己的一席之地，希望各位大佬有时间还是得多陪陪家人，不说了，我去跪遥控器保证不能换台了。。。。。
