真实白帽案例：有待过滤的搜索条件

我们相信：世界是美好的，你是我也是。平行空间的世界里面，不同版本的生活也在继续...

本文中所说的例子，也是真实案例。而且，这个漏洞的存在范围之广，简直是无法想象。苏南大叔眼看的周围的新老同事，就写过N次本文所描述漏洞。当然，大多数情况下，大多数人都是很不在意的。汇报完之后，被修改的概率也不是很大。苏南大叔表示很无奈啊～

本文中，苏南大叔描述的是上海某家大企业的网站，存在着该漏洞。因为苏南大叔和对方的管理员在同一个QQ群，所以也是和对方网络管理员全程直播相关过程的。所以，本文描述的是个白帽子行为，对方知情的。

漏洞描述

本文的漏洞就是搜索功能欠缺参数过滤，并且会把输入的参数显示在页面上。

• 在安全领域，这个叫做xss漏洞。
• 在seo领域，这个被引申为zf外链，是一门专门的课程。苏南大叔表示：真是有不怕死的啊，公开教唆学员去zf网站上去找这种漏洞并利用。对此作死行为，苏南大叔暂不做更进一步的表态。不过从结果上看，确实在zf网站领域，这种漏洞真心确实是一抓一大把。

漏洞详情

苏南大叔是个守法好公民，所作测试都会通知对方站点管理员，而且不管对方是否接受修改建议。也都会在很久很久之后，再公开相关信息。当然，也希望整天扫描本人站点的各位黑哥白哥，手下留情。

这个漏洞非常的简单，就是在类似搜索之类的地方，输入html字符进行搜索。如果提交之后的页面中，出现了你输入的html字符，并且正确的进行了解析。那么恭喜你，中奖了。

seo界的敢死队员们，就利用这种漏洞，输入自己站点的链接代码，然后将搜索的结果url，再提交到蜘蛛池，最终达到增加站点权重的目的。

比如：苏南大叔输入了<img src=''>进行搜索的话，搜索的结果里面，就出现了上述html所代表的图片。例如：

/search.php?key=<img src=''>

如果，大家输入的是js代码的话，也是有可能会执行的哦。这个时候，就可以拿cookie了，这种xss危害就非常大了。相关链接如下：

• https://newsn.net/say/cookie-httponly.html

破解方案

面对这种危害，解决方案就是：请各位程序员对所有用户输入的参数，进行html代码过滤，及相关安全检测即可。比如php里面使用下面的函数就可以过滤掉大多数危险代码：

htmlspecialchars()

• http://www.php.net/htmlspecialchars

特别是把不经过滤的参数直接显示到页面上的行为，是非常非常非常危险的。下面的截图，是做了正确参数处理的一个范例。

另外，对于cookie，一定要设置httponly。这样的话，即使被xss了。也不会泄露任何cookie信息的。下面的链接里面，有相关破解之法。

• https://newsn.net/say/cookie-httponly.html

另外，参数过滤！一定要过滤！一定要注意：回显到页面上的参数，一定要更加小心！不要相信任何用户输入项目内容。

后记

同苏南大叔汇报的白帽漏洞一样一样的，对方管理员看到了相关的截图展示之后，虽然表示特别惊讶。但是多半年过去之后，仍然没有做任何的修改。苏南大叔，询问是否可以作为案例写出来，管理员表示同意。截至到发稿，对方中文网站已经修复此漏洞，但是其英文网站，依然存在此漏洞，这里苏南大叔表示不明觉厉。

另外不得不提，存在此类似漏洞的某某互联网站，连续多年电话通知/QQ通知，都坚定不移的不修改，根本不把用户的数据安全放在心上。苏南大叔目前已经表示麻木，自生自灭吧。

总结

恪守白帽测试准则，本博客中所有的白帽类的文章，都会遵守职业操守，通知对方相关结果的。带poc的文章中，也会对相关敏感内容，做加密处理，谢绝跨省。

• https://newsn.net/tag/safe/

如果本文对您有帮助，或者节约了您的时间，欢迎打赏瓶饮料，建立下友谊关系。
本博客不欢迎：各种镜像采集行为。请尊重原创文章内容，转载请保留作者链接。