传说中的猫扑 0 楼续

其实原理很简单。MOP 发帖并不是 BBCODE，而是允许一些 HTML 代码的。比如 <img>。img 元素有一个 onerror 的非标准属性，它的值是一串脚本。当图片不能加载时，这段脚本便会执行。再加上 mop 的页面中加载了 jquery，这使得 onerror 中脚本的复杂度大大降低了。查看帖子的 HTML 源代码就知道所谓的 0 楼实际上都是摆在十几二十楼，反正看得出来。作者再稍微做点手脚，把自己本层隐藏掉，这样从页面上完全看不出他本来所在的楼层了。

可惜的是从我今天看到的，这种事情发生至少有 3 天了，而且这还不是第一次。正像作者所说，只要漏洞的使用者愿意，把 MOP 搞垮不是不可能。至少作者可以在页面上为所欲为，比如放一个带木马的 iframe，那猫扑就真的是黄泥巴掉裤裆，不是屎也是屎了。

这种问题修复起来很容易，只要把 img 元素内容过滤一下就可以了，有必要的话甚至可以把 img 禁掉。不知道为什么几天了都没修复。我自己都小试了一下。当然不敢乱来。我本来还以为像 MOP 这样历史悠久而又访问量巨大的网站，技术水平应该相当不错。结果却是这个样子。太可惜了。

这再一次证明了 jquery 是个好东西！我爱 jquery！

传说中的猫扑 0 楼续相关推荐

传说中的猫扑 0 楼
今天见到了传说中的猫扑 0 楼.鉴于猫扑也是用 JSP 做的,这个 0 楼对我们广大的 JSP 工作者具有深刻的教育意义.而且作者不但有技术,更是有文采,这也应该作为程序员学习的榜样. 这行很重要:M ...
iqq for linux源代码,开源qq下载-Linux开源QQ 2012(iQQ)下载 v1.0.2 免费版-IT猫扑网
开源qq是一款较早推出的qq聊天软件开源工具,适合java系统的运行,对开源系统进行检测,linux系统完美运行,有需要的用户欢迎来IT猫扑下载~ Linux开源QQ简介 iQQ 使用Java语言跨平 ...
猫扑实战分享：如何在预算几乎为0的情况做活动运营
上次有同行和我说他们的年度盛典活动有600万的预算,我当时煞是吃了一惊.我大概掐指一算,在猫扑的7年里,我拿到的市场预算加起来好像都没有6000块,除了猫扑做活动经常用到的小扑等周边(小扑是猫扑的玩偶 ...
mysql8有社区版吗_mysql社区版下载|Mysql Community Server下载v8.0.16 官方最新版_ IT猫扑网...
mysql8.0.16是最新的mysql数据库客户端,这里分享的社区版的,完全免费使用,供大家学习sql语句和一些简单的操作,赶紧来下载MySQL Community Server 5.7.17吧,包 ...
linetv_line tv 苹果版-line tv ios版 v2.0.2 iPhone版-IT猫扑网
LINE TV ios台湾版是一款独家视频播放器软件,为你汇集了完整电视偶像剧.综艺节目.音乐MV等视频资源,让你尽情观赏电视影集与影音片段!喜欢的朋友快来IT猫扑下载吧! LINE TVios版功能 ...
c4d流体插件_c4d流体插件下载|C4D流体模拟插件(Jawset TurbulenceFD)下载v1.0 Rev1372 官方最新版_ IT猫扑网...
Jawset TurbulenceFD是一款C4D流体水墨烟雾特效插件,支持 Cinema4D R15 R16 R17版本,模拟精度高.解算速度快,功能非常强大,喜欢的朋友快来IT猫扑下载吧! c4d ...
win7 32位php安装包下载地址,appserv官方下载|AppServ(php环境安装包)下载v8.6 64位/32位支持win7/win8/win10_ IT猫扑网...
AppServ(php环境安装包)是一个功能强大的PHP环境集成安装包,安装十分方便,按照提示操作即可,包括PHP.mysql.phpMyAdmin 等工具,需要的朋友就来IT猫扑下载吧! AppSe ...
猫扑网互动营销六大模式
中国第一互动娱乐门户猫扑网(www.mop.com)创造性地提出了互动营销的--创意.病毒.社群.体验.宽频以及内容--六大模式.这六种模式不仅给猫扑的客户带来了重大的价值,并且为网络营销行业进行了有 ...
猫扑，谁在逼你上市vg
中国的Web2.0,哪个能率先上市,给行业起到带头作用?这是个商业上严肃.精神上浪漫的话题. 猫扑代表着一种Web2.0的中国力量,一种自下而上.由草根至商业层的新气息.尽管其在业务层面不断做出调整, ...

传说中的猫扑 0 楼续

传说中的猫扑 0 楼续相关推荐

最新文章

热门文章