YKfaka优卡自动发卡程序漏洞合集（这是篇水文）

源码下载地址：https://www.songma.com/product/view188448.html

大部分都是基于宝塔安装目前常见版本：5.7.2（市面上含有少量的5.7.1及5.7.0）

演示地址：本地（由于源码加密，其实并非代码审计出来的）

0x01 简介

    ykfaka是一套发卡网站程序的源码，然后，我也是在不知道是啥了。就理解为发卡平台源码就完事了。

0x02 漏洞

    期初我在前台也没有发现什么明显的问题并且，没有源码的情况下。后来问题的出现均出于进入后台的那一刻，我们先看下界面。

很简单哈，在我们注册账号之前，只有购买的位置，注册后以后太交互功能也 有限，我们看下后台界面。

然后，我实在不知道咋写了，直接给漏洞位置吧：

0x001:前台订单购买处

在立即购买时，添加x-forwarded-for 头，值为XSS代码