用户留言、评论都允许输入script、iframe，用于入侵者直接看到管理员的cookies，很可怕啊，md5密码、用户名、包括保留认证密码都在里面显示啊……

建议快速修复，已知的地址：申请友情连接、用户留言、评论、用户反馈等（可能包括论坛）。

一但获得管理员帐号、密码，最严重的是里面居然还有一个在线sql执行……你懂的……服务器权限就是这么被获得的……惨