本帖最后由 1327067592 于 2020-7-25 17:13 编辑
导航网站自动收录漏洞-被劫持
我想搞个导航网站来着，看着自动收录的网站然后就发现了很多导航网站有这个bug
自动收录网站：https://www.shoulu.link/
BUG后果：可以在网站上上传任意js html代码，会被劫持，跳转等等。
BUG原因：
大家看图，只要我在我的网站上面，做了导航网站的连接。然后点入到导航网站内，
导航网站就会读取，我网站的信息，自动收录到它的数据库。
只要我在
<title>标签里面添加上html 或者js代码。就会被收录到导航网站内。我看了一下大部分的导航网站模板，均没有过滤html代码
[HTML] 纯文本查看 复制代码 <title><meta http-equiv="refresh" content="5;"url="http://www.baidu.cn/"> </title>
然后这个网站抓取的标题，就变成了代码。植入到导航网站首页了。然后网站就被劫持了。
声明：这只是漏洞分析，大家千万别去恶意破幻别人的网站!
如果你也有导航网站，自己加个过滤代码修复吧！
给个好评谢谢。！
| 
发表于 2020-5-23 18:11
|
发表于 2020-5-23 19:28
