一个验证系统在用户名前加空格就可以登录，可能是什么漏洞？

[Axurez]

我们学校的无线登录验证系统，广为流传一个漏洞：如果欠费了，在用户名前面加一个（半角）空格就可以登录并使用。

然后我试验了一下，加全角空格可以登录，但是上不了网，在后面加空格，也可以登录，但也上不了网。根据网页上返回的登录信息看，空格似乎被 url 编码了。

这其中的原理是什么呢？难道密码检查、欠费验证和是否上网采用了不同的验证方法？

[lxrmido]

建议加个\x1a 或者\x00 看看……

[xuan_lengyue]

忘了把用户名字符串 Trim 吧。

[Axurez]

多了一个 ldap_search () failed: Bad search filter, ret=-1
@lxrmido

[zzNucker]

很明显，这几个业务点的验证方法没有重用。

[gamexg]

登录验证部分作了 Trim ，查询过期记录部分忘了 Trim 。

[Senorsen]

感觉这个漏洞快被封了…知道的人越来越多了