首页    技术博客    PHP教程    数据库技术    前端开发   HTML5    Nginx    php论坛
新用户注册 | 会员登录
加入会员，解锁专属内容
取消
热门标签 | HotTags
当前位置:  开发笔记 > 编程语言 > 正文

PHP利用$_SERVER["HTTP_REFERER"]防止站外链接和任意网址跳转漏洞

作者：雨蝶馨菲_484 | 来源：互联网 | 2013-08-12 09:50
今天利用360扫描我的网站，提示警告基本的任意网址跳转漏洞，其实这个是我设置，在不影响用户体验的情况下，为了所谓的网站权重问题而设置的...PHP利用$_SERVER["HTTP_REFERER"]防止站外链接和任意网址跳转漏洞

360提示本网站网站发现任意网址跳转漏洞

难得有空余时间，又开始折腾我的新博客的，哈哈。玩微博偶尔又扫到了360，就想着扫描一下我的网站试试。一看不要紧，提醒存在任意网址跳转漏洞：

该漏洞可能导致网站用户被钓鱼，造成不必要的损失，严重影响网站在用户中的形像！

漏洞地址：

http://ziren.org/app/zr-s.php?url=http://oxoxoxoxoxoxox.com

扫描结果：

ziren.org安全报告，提示存在任意网址跳转漏洞

为何出现这个问题？

其实这个是我设置，在不影响用户体验的情况下，为了所谓的网站权重问题而设置的，站外链接都是从这个出口导出，这个链接禁止搜索引擎收录。仔细想想，这是也真改好好思考一下，如果有人利用这个设置搞下不正当的东西，我的主机真吃不消，再者很可能被xxx加入黑名单之类的东东，多一事不如少一事。搞点php的$_SERVER["HTTP_REFERER"]验证一下吧：

view sourceprint
01.
02. $check_url=$_SERVER['HTTP_REFERER'];
03. if($check_url!=''){
04. $check_url=parse_url($check_url);
05. if($check_url[host]!='ziren.org'){
06. $url='http://ziren.org/';
07. exit();
08. }
09. }
10.?>

什么情况下HTTP_REFERER会失效？

只有点击超链接A（即）打开的页面才有HTTP_REFERER环境变量，其它如 window.open()、 window.location=…、window.showModelessDialog()等打开的窗口都没有HTTP_REFERER 环境变量。


推荐阅读
  • main

    UVALive 8201 - BBP 公式计算圆周率

    在1995年，Simon Plouffe 发现了一种特殊的求和方法来表示某些常数。两年后，Bailey 和 Borwein 在他们的论文中发表了这一发现，这种方法被命名为 Bailey-Borwein-Plouffe (BBP) 公式。该问题要求计算圆周率 π 的第 n 个十六进制数字。 ... [详细]
  • text

    Oracle VM VirtualBox 使用指南：创建静态网页及高级功能

    本文详细介绍了如何在Oracle VM VirtualBox中实现主机与虚拟机之间的数据交换，包括安装Guest Additions增强功能，以及如何利用这些功能进行文件传输、屏幕调整等操作。 ... [详细]
  • header

    Windows环境下Nginx缓存优化配置指南

    本文详细介绍了在Windows系统中如何配置Nginx以实现高效的缓存加速功能，包括关键的配置文件设置和示例代码。 ... [详细]
  • utf-8

    如何在PyCharm中配置Python脚本的默认模板

    如何在PyCharm中配置Python脚本的默认模板
    本文介绍如何在PyCharm中设置Python脚本的默认模板，以便每次创建新的.py文件时自动填充预设内容，提高开发效率。 ... [详细]
  • utf-8

    深入理解C#中的记录（Record）类型

    当需要确保对象的状态在创建后不可更改时，使用记录（Record）类型是一个理想的选择。本文探讨了如何通过记录类型实现对象的不可变性，并提供了一个简单的示例来说明其用法。 ... [详细]
  • utf-8

    FLV播放器的构建与优化

    本文详细介绍了FLV播放器的构建过程，包括如何解析FLV标签并将这些标签传递给解码器，以及如何在Qt环境中注册共享指针的信号和槽机制。 ... [详细]
  • utf-8

    团支部的概念及其职能

    团支部的概念及其职能
    本文详细介绍了团支部的基本概念、组织结构以及其在共青团体系中的重要职能。 ... [详细]
  • java

    求助：如何在JavaScriptID3Reader中实现跨域请求

    在开发一个网页音乐播放器时遇到问题，需要从不同源读取MP3文件的ID3标签信息，包括流派、歌手和歌曲名称等。尝试使用PHP未果后转而考虑使用JavaScript进行跨域读取，但不清楚具体配置方法，寻求技术指导。 ... [详细]
  • java

    探索《冯诺依曼传》：天才与时代的交响

    探索《冯诺依曼传》：天才与时代的交响
    本文深入探讨了《冯诺依曼传》，通过分析这位20世纪杰出科学家的生平，揭示其对现代科技及理论科学的深远影响。 ... [详细]
  • callback

    深入解析JQuery Mobile特有的事件与方法

    本文详细介绍了JQuery Mobile框架中特有的事件和方法，帮助开发者更好地理解和应用这些特性，提升移动Web开发的效率。 ... [详细]
  • callback

    CRZ.im：一款极简的网址缩短服务及其安装指南

    CRZ.im：一款极简的网址缩短服务及其安装指南
    本文介绍了一款名为CRZ.im的极简网址缩短服务，该服务采用PHP和SQLite开发，体积小巧，约10KB。本文还提供了详细的安装步骤，包括环境配置、域名解析及Nginx伪静态设置。 ... [详细]
  • netty

    我的读书清单（持续更新）

    我的读书清单（持续更新）201705311.《一千零一夜》2006（四五年级）2.《中华上下五千年》2008（初一）3.《鲁滨孙漂流记》2008（初二）4.《钢铁是怎样炼成的》20 ... [详细]
  • netty

    兼职APP开发案例及费用分析

    随着市场需求的增长，各行业对兼职人员的需求日益增加。无论是本地生活服务还是专业技能提供，兼职APP成为了连接供需双方的重要桥梁，有效地提升了信息透明度和服务效率。 ... [详细]
  • substring

    IC卡操作功能实现

    本文介绍了如何通过C#语言调用动态链接库（DLL）中的函数来实现IC卡的基本操作，包括初始化设备、设置密码模式、获取设备状态等，并详细展示了将TextBox中的数据写入IC卡的具体实现方法。 ... [详细]
  • text

    Go从入门到精通系列视频之go编程语言密码学哈希算法（二）

    Go从入门到精通系列视频之go编程语言密码学哈希算法（二） ... [详细]
author-avatar
雨蝶馨菲_484
这个家伙很懒，什么也没留下！
Tags | 热门标签
RankList | 热门文章
PHP1.CN | 中国最专业的PHP中文社区 | DevBox开发工具箱 | json解析格式化 |PHP资讯 | PHP教程 | 数据库技术 | 服务器技术 | 前端开发技术 | PHP框架 | 开发工具 | 在线工具
Copyright © 1998 - 2020 PHP1.CN. All Rights Reserved | 京公网安备 11010802041100号 | 京ICP备19059560号-4 | PHP1.CN 第一PHP社区 版权所有