上班了吧，晚上没约到情人吧！想约吗？APP Store 搜“鲜肉”，或者扫描二维码下载“鲜肉”APP，新增“约”的功能咯！推女郎(tuigirl)　
　文章为作者独立观点，不代表微头条立场
的最新文章
上班了吧，晚上没约到情人吧！想约吗？APP Store 搜“鲜肉”，或者扫描二维码下载“鲜肉”APP，新增“tuigirl来自腾讯微博认证资料：《推女郎》官方微博，精美艺术影像电子月刊。 @推女郎热门文章最新文章tuigirl来自腾讯微博认证资料：《推女郎》官方微博，精美艺术影像电子月刊。 @推女郎春晚四美回归“女神”贾玲亮嗓只可惜，小鲜肉换成了“老腊肉”|春晚|晚会|节目_新浪娱乐_新浪网
& 综合 &&正文
春晚四美回归“女神”贾玲亮嗓只可惜，小鲜肉换成了“老腊肉”
　　俗话说，不过十五不算过完年。羊年春晚已经落下帷幕，然而与春晚有关的精彩内容仍在上演。作为每年央视春晚的“姊妹篇”，央视元宵晚会仍然是众人关注的重头戏，元宵晚会因为与春晚有着千丝万缕的联系，其影响力、关注度和收视率都非同一般。今晚8点，2015央视元宵晚会将在央视综合频道和综艺频道并机播出。主持人朱军、撒贝宁、李思思与毕福剑、朱迅、尼格买提分成两组，带领一众明星陪观众闹元宵。
　　春晚四美华丽回归 喜乐街拆组献唱
　　由秦岚、佟丽娅、马苏、王丽坤客串表演的舞蹈节目《国色天香》与央视羊年春晚擦肩而过，不少人深感惋惜。不过值得庆幸的是，这个备受期待的“高颜值”节目将在元宵晚会中与大家见面。四位小花旦都具有较好的舞蹈天赋和功底，为这个节目也付出了巨大努力。秦岚扮演西施，佟丽娅扮演貂蝉，马苏扮演杨贵妃，王丽坤扮演王昭君，四大美女华服精美，身段妖娆，非常养眼。
　　为提升春晚颜值立下汗马功劳的“女神”贾玲在春晚组建了团队后，开始了自己的“演艺生涯”，没想到跨入歌坛的第一笔生意就是一个“大单”，她将在央视元宵晚会上隆重献唱！在《喜乐街》小伙伴们帮助下找回自信的贾玲将在开场与李菁、孙涛等春晚明星同唱一首玖月奇迹的歌曲《恭喜呀恭喜》。
　　令人惋惜的是，由吴亦凡、鹿晗、陈伟霆、宁泽涛组成的春晚小鲜肉组合依然无缘元宵晚会。不过，他们之前被撤掉的节目会在元宵晚会上亮相，只是小鲜肉组合换成了四位笑星潘长江、沙溢、沈腾、周炜组成的“老腊肉组合”，而他们几位的反串表演，也将给这个节目带来不一样的味道。
　　张杰王铮亮将“走心”进行到底
　　羊年春晚中刘德华《回家的路》、莫文蔚《当你老了》、刘和刚《拉着妈妈的手》等一系列走心的歌曲烘托出暖暖的温情，让人回味无限。元宵晚会将延续这种走心的温情路线。年轻实力歌手张杰将带来一首深情款款的《老婆》，这首歌曲是电视剧《二炮手》的片尾曲，曲风温暖柔和，感情犹如小溪缓缓流入人心。
　　以一首《时间都去哪儿了》红遍全国的歌手王铮亮将带来新作《最远的距离》，这首歌由《时间都去哪儿了》的原班人马再次强势打造，以当下“低头党”对手机痴迷而忽略了身边父母亲友的社会现象为背景，表达出“人世间最可贵的莫过于与亲人心灵的贴近”的深意。巧合的是，《老婆》和《最远的距离》这两首歌都是由黄金夫妻档、金牌词曲人董冬冬和陈曦联手打造。
　　“春晚遗珠”登台 开心麻花“铁三角”露脸
　　此外，错失羊年春晚登台机会的部分优秀节目在经过修改和整合之后，将在元宵晚会精彩亮相。其中包括喜羊羊人偶剧团带来的融合传统皮影艺术的创意节目《本命年》；贾旭明、张康表演的相声《缺啥别缺德》；独脚戏《滑稽京戏·追韩信》；钢琴家郎朗和加拿大的MelodyYang带来的创意泡泡秀节目《幻彩旋律》；魔术师松明表演的《心灵游戏》等等。
　　开心麻花另一组“铁三角”王宁、常远、艾伦的小品《其实你不懂我的心》讲述了一位孤独的老年人为了让儿子多花时间陪伴自己，故意装成“老年多动症”患者而引发的一段啼笑皆非又真切动人的故事，呼唤对亲情的关照和回归。陕西农村题材小品《卖画》由陕西省喜剧表演协会参与创作，讲述了一个城里人在购买户县农民画时发生的一系列故事。该小品由陕西籍喜剧明星杨蕾担任主演，小品在道具、服装、布景、配乐等方面均突出了陕西元素。这两个小品都曾经在羊年春晚的彩排中亮相，再次回归元宵晚会让人备受期待。据搜狐娱乐等
　　主持阵容
　　朱军小尼分开阵营 董卿康辉确定缺席
　　往年央视春晚的主持阵容会延续到元宵晚会，但今年有些不同，继董卿接到领导通知回来主持春晚后，此次她并未出现在元宵晚会的主持名单中。据了解，她很有可能是已经回美国继续深造了。此外，新闻联播主播康辉也确定缺席。昨日下午，2015年央视元宵晚会彩排。主持人朱军、撒贝宁、李思思领衔歌舞类节目，与毕福剑、朱迅、尼格买提带领的语言类节目展开PK“闹元宵”。这一主持阵容也延续了羊年春晚两厅联动、两大主持团较量的擂台风格。 （小腾）
文章关键词：
&&|&&&&|&&&&|&&
您可通过新浪首页顶部 “”， 查看所有收藏过的文章。
，推荐效果更好！
看过本文的人还看过推女郎某处设计不当可造成用户注册信息泄露、修改，网站挂马等严重危害
两个危害不是怎么严重的一组合，危害性立马严重了起来。
推女郎对用户信息验证不严，导致可以越权修改任意用户的&所在地区&信息。本来这不算什么严重的漏洞，但&所在地区&输入的地方存在存储型XSS漏洞，用户登录后的页面中会显示&所在地区&信息，因此只要用户登录就会受到XSS漏洞的攻击。在所有注册用户的&所在地区&处插入XSS利用代码，就可以获得所有注册用户的Cookie信息，而注册用户的用户名（邮箱）在Cookie信息中有出现，所以可以获得所有注册用户的用户名了。
另外，如果把XSS利用代码换成挂马代码，一旦用户的电脑没有打相应的补丁，电脑就会被挂马者完全控制，造成用户信息泄露等严重后果。
看到网站有付费订阅功能，利用越权访问漏洞，非付费用户可能看到付费用户订阅的内容从而不付费订阅了，可能给贵公司造成经济损失。&
漏洞证明：我在推女郎网站/注册了两个用户，。注册登录后通过查看Cookie信息发现了一个变量mid，其值是一个数字，经过测试知道通过mid可以区别用户。这个用户Cookie信息中的mid的值为8317，把&所在地区&信息修改为123；这个用户Cookie信息中的mid的值为8318，把&所在地区&信息修改为456。如图1。
在Chrome中登录的是这个用户，mid为8318，用Edit This Cookie插件修改mid为8317，也就是用户对应的mid，如图2。
修改好后刷新一下，&所在地区&显示为123，也就是这个用户的&所在地区&信息，说明可以越权查看其它用户的信息。是否可以修改呢，来测试下，把&所在地区&由123修改为wooyun，如图3。
刷新下在Mozilla Firefox中登录的这个用户的页面，&所在地区&信息也由原来的123变成了我们在Chrome中修改为的wooyun，如图4。说明还可以越权修改其它用户的&所在地区&信息。（用户密码不可修改，因为修改用户密码需要用户的原有密码）
发现&所在地区&信息处存在存储型XSS漏洞，并且可以利用XSS漏洞获得用户登录后的Cookie信息，如图5，6。
为了不容易被发现被修改了信息，插入精心构造后的XSS利用代码后显示如图7。只多了&&/&&，一般用户可能不会在意。
可以看到在通过XSS漏洞获得的Cookie信息中有用户名（邮箱），如果修改所有用户的&所在地区&为XSS利用代码，就可能获得所有用户的用户名。新注册一个用户，大约找到当前mid的最大值max，然后对一次插入XSS利用代码的过程抓包，修改Cookie中的mid依次为1-max，就可以修改所有用户的&所在地区&信息为XSS利用代码了。这个活用burpsuite很容易实现。&
修复方案：
管理员懂的。
(window.slotbydup=window.slotbydup || []).push({
id: '2467140',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467141',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467142',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467143',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467148',
container: s,
size: '1000,90',
display: 'inlay-fix'}