发现站长统计的一个小漏洞
来源:asp之家 发布时间:2008-05-21 21:31:00
今天像往常一样打开站长统计的后台,关心一下各种访问统计,当我点击搜索引擎 ->今日统计 时突然弹出(alert)了一个对话框上面写着“这个站长是个笨蛋”,真是把我吓了一大跳,而且点击确定后还是继续弹出,没办法只好打开任务管理器结束掉浏览器进程,心想难道站长统计被黑了吗?
站长统计版本:http://www.cnzz.com/v3/admin.php (也许其它版本没有这个问题)
莫名的被教训了一下,真是不甘心啊,于是就想弄清是什么原因,当然要想知道这个烦人的alert是怎么出现的,最好就是看看这个统计页面的代码,由于一打开页面就循环弹出窗口,所以是不能用查看页面源代码的方法查看的,于是只好禁用了浏览器的运行脚本的功能。重新打开页面,全选页面代码,复制到frontpage中查看,终于看到了:
原来是来自搜索引擎的,打开这个链接:
发现有访客在yahoo中使用关键词搜索:<SCRIPT>while(1==1){alert('这个站长是个笨蛋');}</SCRIPT>”而结果页面的第一页是来自asp之家的一篇文章《跨站漏洞解析-小韩网站编程安全系列一》,当然他点击了这个链接,然后站长统计记录了这个访问。
于是很自然的站长统计里关于 搜索引擎 的统计里就有了一个访问:
关键词是:<SCRIPT>while(1==1){alert('这个站长是个笨蛋');}</SCRIPT>,搜索引擎是:雅虎
由于站长统计没有过滤“<>”这两个基本的敏感标签(真是太不应该了),所以我看到的关键词是空白的,而浏览器很忠心地执行了这段代码,于是就出现了文章开始的一幕。
当然发现这个漏洞后或者说bug,我也使用搜索引擎试了一下搜索下面的关键词:
<SCRIPT>alert('asp之家');</SCRIPT>
果然也执行了这段代码!后来我通知了站长站,希望他们能够快点处理。
(6月1号 测试了一下发现依然存在这个bug,搞的我都不敢点:搜索引擎了)
猜你喜欢
- cat /etc/passwd 查看linux用户cat /etc/shadow 查看用户密码需要root权限cat /etc/passwd
- 随着虚拟化技术不断向前发展,许多单位面临着实施虚拟化的诱人理由,如服务器的整合、更快的硬件、使用上的简单、灵活的快照技术等。这都使得虚拟化更
- ADFS是Windows Server 2008 操作系统中的一项新功能,它提供了一个统一的访问解决方案,用于解决基于浏览器的内外部用户的访
- 本文简单介绍怎样登录Godaddy账户,并将Godaddy账户中的主要内容翻译为中文供大家参考第一:访问Godaddy的网站:Godaddy
- 内容摘要:编写通用的SQL防注入程序一般的http请求不外乎get 和 post,所以只要我们在文件中过滤所有post或
- 本人只是一个网络的小小草根,很像与大树平起平坐,但火候不够,在此发表一些自己的观点,希望站长朋友不要介意:网络发展迅猛异常,07年,中国的网
- 核心提示:■受访“职业删稿人”自称与新浪、搜狐、网易、腾迅、百度、谷歌等108家门户网站、新闻网站、
- 在前面的“细说 AdSense 政策”系列中,我们陆续介绍了一些常见的政策问题。今天,我们再向大家介绍一下另一个非常常见的政策问题 – 版权
- 万众期盼已久的WCG中国成都世界电子竞技总决赛将于今日开幕,来自全国成千上万的电竞迷们,今日已经将新会展附近的酒店全部挤满。昨日,记者来到了
- 今天要说的是3款轻量级的asp语言的cms建站程序。阿凯将以自己的体验感受简单记述下3者的功能与特色还有他们的缺点。【5uCMS】5u的作品
- Tomcat服务器是一个免费的开放源代码的Web应用服务器。因为Tomcat技术先进、性能稳定且免费,所以深受Java爱好者的喜爱并得到了部
- 题记:在很多相册的网站中,都有这样的功能:当图片分多页显示的情况下,点击图片会自动翻页到下一张图片,接下来我们在dedecms4中实现这个功
- 在WordPress博客里,有三个名词估计很多博友都不是很了解,也有博友经常性的使用这些功能,或许也有每次只是一眼带过的而已。其实Ping、
- 有同学说搞wm是浪费时间,那我来发点有用的东西。一切关于linux和windows,cli和X的辩论请绕行。本系统由以下软件组成:getma
- 技术对于站长发展中的作用一直存在争论,但现在残酷的竞争面前,仅仅依靠通用论坛程序或者文档管理系统建立千篇一律的个人站点已经毫无出路。个人站长
- Google Adwords广告投放中关键字优化常见的四大难题:1.关键字展示次数偏低;2.关键字点击率偏低;3.关键字点击单价偏高。4.关
- 11月11日消息,国内领先权威调研机构艾瑞集团鼎力支持中国第一视频网站优酷在京正式发布优酷指数,以1.7亿全站优酷用户为样本基础,基于视频技
- 这篇文章是由José M. Aguilar在他卓越的博客中以西班牙语的形式首发,其后Timm Martin在获得Aguilar先生的授权下,
- EuroCheapo是欧洲一家旅行网站,用户可以在网站上查询并预订价廉物美的酒店、机票或是租车,这是网站的主要收入来源。然而,EuroChe
- 现在互联网上的内容五花八门无奇不有。有时您发表了一些不该发表的内容——比如一气之下发了篇博文,事后却后悔不已;又如无意间泄露了保密数据等。大