3.cn京东短网址绕过白名单生成漏洞分析与修复

已于 2024-04-30 20:24:49 修改
阅读量478 收藏 1
点赞数 4
分类专栏： Web安全 文章标签： web安全
于 2024-04-30 16:15:24 首次发布
Soujer
本文链接：https://blog.csdn.net/Soujer/article/details/138347626
版权
Web安全 专栏收录该内容
12 篇文章 1 订阅 ¥399.90 ¥499.90
订阅专栏
本文作者晓杰分享了对3.cn京东短网址存在的白名单绕过漏洞的研究过程，揭示了如何生成短链接并指出其安全问题。晓杰已将漏洞报告给京东安全应急响应中心，提出域名白名单代码重写和链接同步校验等修复方案。
摘要由CSDN通过智能技术生成

在这里插入图片描述

前言

大家好，我是晓杰，我是一个技术爱好者，喜欢研究一些各大厂商系统漏洞，后面一样公布我的分析过程，各大厂商看到烦请及时修复。

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看ÿ

了解本专栏 订阅专栏 解锁全文
Soujer
关注
  • 4
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
基于t.cn生成的短链接绕过白名单方案
Soujer的博客
04-29 340
晓杰以前做绿标短网址研究过相关的防洪技术，如今将一一公布相关技术源码，对你有用的话欢迎关注我！
京东短网址高可用提升最佳实践 | 京东云技术团队
JDDTechTalk的博客
05-12 663
短网址，是在长度上比较短的网址。简单来说就是帮您把冗长的URL地址缩短成8个字符以内的短网址。当我们在腾讯、新浪发微博时，有时发很长的网址连接，但由于微博只限制140个字，所以微博就自动把您发的长网址给转换成短网址了。在微博和手机短信提醒等限制字数的地方来使用短网址，的确是一个不错的方案。短网址通常使用“短域名/短码”的形式，打开短网址网页会直接跳转到长网址页面。。
京东 URL 分析（深入浅出）
打字爱好者。
03-27 512
https://union-click.jd.com/jdc?e=1003156031&p=JF8BARkJK1olXDYDZBoCUBVIMzZNXhpXVhgcFR0DFxBCHD1WR0VJDVtfSg4PTRNQV3EKcDNCNnx0Ny4EWzJceCdqWjhWBX1cIjgDAQwQHTdXTg9cQl9HCANTUBRIVyx4RAlMA0UOVF9cCUsXBmYKElMXSlFcBhofBEkAUSsEXhhRCTZGI1gGejRcZwxYHDAXNlYDHUAbAAJnD2M4Gm
URL短网址系统的算法设计及实践
京东科技开发者
02-19 1057
在通常情况下，URL是由系统生成的，通常包括URI路径，多个查询参数，可以对参数进行加密和解密。当人们要分享某个URL，比如短信，邮件，社交媒体，这就需要短URL。 而短网址，顾名思义就是在长度上比较短的网址。简单来说就是帮您把冗长的URL地址缩短成8个字符以内的短网址。 你有没有遇到过短信字符过长本来一条信息搞定的事情需要发两条？你有没有遇到过填报系统里填写网址却因为字符限制无法完整提交？你有...
URL重定向漏洞
热门推荐
秋水的博客
09-06 1万+
0X00： 什么是url重定向？ URL重定向（URL redirection，或称网址重定向或网域名称转址），是指当使用者浏览某个网址时，将他导向到另一个网址的技术 url转发和重定向区别 第一种是request.getRequestDispatcher().forward(request,response)： 1、属于转发，也是服务器跳转，也可以叫做内部重定向，相当于方法调用，...
红队系列-SRC常用漏洞挖掘技巧
aming小老弟
12-08 1459
安全弱点sql 注入命令 注入深入利用xpath注入 （老式 ） 广泛了解乌云镜像薅羊毛。
XSS漏洞注入，分类，防御方法
小司机的奥拓
04-24 1222
XSS全称（Cross SiteScripting）跨站脚本攻击，是最常见的Web应用程序安全漏洞之一，仅次于SQL注入。XSS是指攻击者在网页中嵌入客户端脚本，通常是JavaScript编写的危险代码，当用户使用浏览器浏览网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的。由此可知，XSS属于客户端攻击，受害者最终是用户，但特别要注意的是网站管理人员也属于用户之一。
常见Web安全漏洞
selt791的博客
03-07 1000
XSS攻击 什么是XSS攻击手段 XSS攻击使用Javascript脚本注入进行攻击 例如在提交表单后，展示到另一个页面，可能会受到XSS脚本注入，读取本地cookie远程发送给黑客服务器端。 对应html源代码: <script>alert(‘sss’)</script> 最好使用火狐浏览器演示效果 如何防御XSS攻击 将脚本特殊字符，转换成html源代码进行展示。 ...
2023_OWASP TOP10_漏洞详情
zz12345600354的博客
06-08 670
3 、跨站脚本攻击（ X S S ） 3、跨站脚本攻击（XSS） 3、跨站脚本攻击（XSS）
Penetration_Testing_POC-About 渗透测试有关的POC、EXP、脚本、提权、小工具等
weixin_46280935的博客
09-10 5476
Penetration_Testing_POC 搜集有关渗透测试中用到的POC、脚本、工具、文章等姿势分享，作为笔记吧，欢迎补充。 Penetration_Testing_POC 请善用搜索[Ctrl+F]查找 IOT Device&Mobile Phone Web APP 提权辅助相关 PC tools-小工具集合 文章/书籍/教程相关 说明 请善用搜索[Ctrl+F]查找 IOT Device&Mobile Phone 天翼创维awifi路由器存在多处未授权访问漏
URL跳转漏洞实例
weixin_39157582的博客
01-31 2765
0x03 实际案例 a WooYun: 搜狗浏览器存在url跳转漏洞可被利用钓鱼 很老的 “@”字符 没有过滤啊 b WooYun: 百度URL跳转漏洞 百度MP3网存在URL跳转漏洞，已被利用进行钓鱼攻击，如图所示，攻击者利用被盗QQ向QQ群发送消息，钓QQ账户。下面是QQ消息中包含的钓鱼连接： http://mp3.baidu.com/j?url=http://toran.cn/1au7l ...
【网络安全】服务基础第一阶段——第二节：Windows系统管理基础----虚拟化IP地址以及用户与组管理
goldfish8848的博客
08-25 1547
不同的用户身份拥有不同的权限，每个用户包含一个名称和一个密码，用户账户拥有唯一的安全标识Windows系统中，每个用户账户都有一个独特的安全标识符（SID，Security Identifier）它在系统内部用于控制对各种资源的访问权限。我们可以通过不同的方法查看用户的SID：1.使用命令提示符（CMD）这里的CMD就是我们常用的命令提示符（类似于终端的那个窗口），输入命令来查看当前登陆用户的SID如果需要查看特定用户的SID，可以使用命令。
网络安全售前入门06安全服务——基线检测服务方案
打工人
08-30 1004
安全基线检查可以帮助单位认清自身风险现状和漏洞隐患，使业务系统的风险维持在可控范围内。根本目的是保障业务系统的安全，是为了避免人为疏忽或错误，或使用默认的安全配置，给业务系统安全造成风险而制定的安全检查标准，并且采取必要的安全检查措施，使业务系统达到相对的安全指标要求。
【网络安全】网络安全中的常见攻击方式：被动攻击、主动攻击与中间人攻击
一定要站在自己热爱的生活里闪闪发光
08-27 382
在信息化时代，网络安全已经成为企业和个人都非常关注的领域。无论是个人隐私还是企业机密，随着互联网的广泛应用，保护这些信息免受攻击变得越来越重要。攻击者通过各种方式试图获取、篡改或破坏信息，这些方式大致可以分为被动攻击、主动攻击和中间人攻击三类。了解这些攻击方式有助于我们更好地保护自己的信息安全。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
最新发布
2401_84466224的博客
08-30 857
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
【网络安全】分析cookie实现PII IDOR
等风来
08-27 85
目标：公共电子商务类型的网站，每月有大约6万到10万访问者，注册用户大约有5万。
【网络安全】XML-RPC漏洞之盲SSRF
等风来
08-27 305
我收到的响应是这样的，响应体中的状态为0，表示请求已成功发送：
【网络安全】分析重置密码功能实现账户接管
等风来
08-26 186
点击了重新发送电子邮件的按钮后，我在攻击者的邮箱得到了受害者的重置密码链接，从而实现了账户接管。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Soujer

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值