对用户可控的参数没有做有效的过滤(估计是没做任何过滤)

注入是一般常见的注入

但是注入点才是特别的

普通用户登录成功过之后

修改Cookie S[CUR]的值就出来了