常用浏览器未过滤“@”字符或导致钓鱼网站横行 搜狗,360,遨游,世纪之窗等
搜狗、360、遨游还有世纪之窗等几个浏览器都是差不多的！ <br />当初软件开发是基于IE6的内核系统的。 <br />现今IE6早就已经更新 <br />现在在IE6中打开http://www.baidu.com@jb51.net回显“语法错误”信息 <br />过滤了"@"字符 <br />但是现在搜狗、360、遨游还有世纪之窗等浏览器均不出现回显错误 <br />而是直接跳转至地址http://jb51.net <br />假设某论坛支持HTML代码 <br />则发帖内容为：&lt;a href="https://mybank.icbc.com.cn/icbc/perbank/regtip.jsp@www.sina.com.cn/"&gt;http://www.icbc.com.cn/&lt;/a&gt; <br />那么如果用户使用的是上述几个浏览器之一，看到的信息是http://www.icbc.com.cn <br />但是点击进入的实际地址却是www.sina.com（如果是钓鱼地址呢……） <br />漏洞证明： <br />假设某论坛支持HTML代码 <br />则发帖内容为：&lt;a href="https://mybank.icbc.com.cn/icbc/perbank/regtip.jsp@www.sina.com.cn/"&gt;http://www.icbc.com.cn/&lt;/a&gt; <br />那么如果用户使用的是上述几个浏览器之一，看到的信息是http://www.icbc.com.cn <br />但是点击进入的实际地址却是www.sina.com（如果是钓鱼地址呢……） <br />修复方案： <br />直接过滤掉。
頁:
[1]