各位前端注意浏览器地址栏也是一个输入框

[liuqiongyu889]

做前端的都知道不要相信每个输入框的内容，我真没想到浏览器地址栏也是一个输入框，然后就被搞了。 记录下整个过程：

没想到我也被黑产摆了一道

[veike]

这种东西都多少年前的事了，利用高权重网站给自己打广告。

[mohumohu]

我想起看过的一篇文章跟 OP 描述的有点像，简单来说就是构造带广告的 URL ，被搜索引擎爬了呗： [Wordpress 的搜索功能可能会被碰瓷]( https://blog.03k.org/post/wordpress-bad.html)

[xiebruce]

不存在的链接直接显示 404 ，你在我博客随便输： https://www.xiebruce.top/tag/vim ，会发现，不存在链接就会显示 404 ，这样它输什么 tag 就与我无法了

[geelaw]

用“输入框”的方式思考仅得其形，更好的理解是：一切来自于外界的输入都是脏的。

[XEdge]

如图

[busier]

http Request head 也是输入！不光 url 可以玩！ user-agent 、accept-language 、referer 等等各种 head 都可以玩！

[liuqiongyu889]

@oldshensheep 7 楼正解，不是 xss ，简单说就是如果 url params/path variables 没有经过后端检查就显示在页面上都有这个漏洞，攻击者不是为了嵌入 html 代码，而是嵌入简单文本，实现 SEO

[cy18]

这跟前端有啥关系，要注意也应该是后端注意吧？
感觉应该说，后端应该认为所有输入都是脏的。

[liuqiongyu889]

@cy18 显然你没看懂原理，这不是后端能解决的，也不是用 react/vue 过滤 xss 就能解决，是前端的一种安全漏洞