一次网站“高危”漏洞修复经历纪实

闲聊灌水
1

这个“高危”是打了引号的，应该不算标题党吧。

事情是这样子的，我自定义了网站的404页面，就加了这么一句，echo $_SERVER['REDIRECT_URL']; 把当前页面路径打印出来，这样我就不用把目光移到浏览器的url地址栏上去看了。

后来，应该网站还是有那么一点流量吧，我收到了police部门的通知：网站存在高危跨站脚本攻击漏洞，“风险情况”，“处理建议”这些看得我一脸懵逼。

去了police部门，弄明白了原来漏洞是这样的。打开类似这样的url ： https：//xxxxx.com/《script》alert();《/script》里js代码时会被执行。 这个就是我自定义了404页面加了上面那一句弄出来的，确确实实是个漏洞，一时疏忽导致，解决办法是把上面那句删了就好。

最后给我普及了下网络安全的重要性，大意有：2零大就要召开了，如果网站被人入侵，植入反动标语那个就不好了; 网站已在工信部配案，但police部没有，还要在police部再备案一次；回去写了百多字的具体整改措施。

不知道这算不算是被请喝茶，但发这个贴子真的没有其它意思的，不要多想，只是勉励一下自己以及提醒一下本站的坛友们要引以为戒，写代码的时候要小心一些，不要一时图方便留下高危漏洞就不好了。

4 个赞
2

你这网站还用 CGI 也太不现代了 :thinking: 随便找个 template engine 都能给你转义 HTML tag 的

3

没有，是用apache+php，这个不能算CGI吧。

我其实没太弄明白这个漏洞的影响在那，这就是在一个404页面里注入了js代码执行，不能往服务器端注入任意数据，在说了用户要在某网页注入js代码执行，这个是没办法阻止的啊，就说本站，有那么多人用猴油脚本，我理解这个也是在任意网页中注入js来实现想要的功能。

4

可以用来植入反动标语，通过在拼装 URL 的参数可以拼出来 HTML（因为你的服务器直接把这东西用来显示了）, 然后用 URL 缩短之类的服务生成短链接然后分享，这样看起来就像是你的服务器提供了这些东西。

传统的 XSS 攻击原理：

monkey 脚本和 F12 console 改的东西没法通过分享链接给别人看， 就像站内有人用了自定义 CSS/JS，你把本站的网址分享给别人，那别人看到的还是原本的没有自定义的样子

3 个赞
5

我用的香港的服务器，没有这个烦恼，哈哈。

6

我也想改成亚马逊云而不是阿里云之类的了，阿里云/腾讯云/华为云这些服务器的域名都要备案什么的

7

我用的就是腾讯云。在香港的服务域名不用备案。