草庐IT

javascript - 什么可能在 JavaScript 中改组我的查询字符串参数构造函数？

coder 2024-05-06 原文

所以这可能是一个很长的机会，但我完全不知道是什么导致了这个问题:

我正在提供一个客户端 JavaScript，它解析嵌入它的页面上的某些参数，使用这些参数构建一个 URL 并将使用该 URL 的 iframe 注入(inject)页面，如:

var queryParams = {
  param: 'foo'
  , other: 'bar'
};

变成了:

<iframe src="http://example.net/iframes/123?param=foo&other=bar"></iframe>

这工作得很好，我每天发送大约 150 万个请求。然而我最近注意到，在每天大约 3.000 个案例中，查询参数的值被打乱，所以像这样的东西被请求:

<iframe src="http://example.net/iframes/123?param=ofo&other=rba"></iframe>

从日志来看，这是与特定用户相关联的，字符的困惑会在每次请求时重新发生，因此当用户使用脚本浏览具有多个页面的站点时，我可以看到这样的序列:

108.161.183.122 - - [14/Sep/2015:15:18:51 +0000] "GET /iframe/ogequl093iwsfr8n?param=3a1bc2 HTTP/1.0" 401 11601 "http://www.example.net/gallery?page=1" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.0"
108.161.183.122 - - [14/Sep/2015:15:19:07 +0000] "GET /iframe/ogequl093iwsfr8n?param=a21b3c HTTP/1.0" 401 11601 "http://www.example.net/gallery?page=2" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.0"
108.161.183.122 - - [14/Sep/2015:15:19:29 +0000] "GET /iframe/ogequl093iwsfr8n?param=ba132c HTTP/1.0" 401 11601 "http://www.example.net/gallery?page=3" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.0"

401 是故意发生的，因为服务器期望 param=abc123。

我还注意到大多数错误都发生在 Firefox 和 Safari 中，Google Chrome 没有请求过一个错误的 URL。

我用来将对象转换为查询字符串的库是:query-string - 但是查看源代码，我看不到任何可能存在此类错误的可能性，没有对键(没有弄乱)未完成的值进行任何操作。

有没有人遇到过类似的事情？这是一些奇怪的浏览器扩展吗？这是我的脚本与另一个扩展原型(prototype)的库的冲突吗？这是恶意软件吗？这是我完全不知道的事情吗？如果有任何提示，我将不胜感激，因为我真的一无所知，这真的让我发疯。

编辑:我刚刚发现我们的另一个面向公众的服务目前正在被称为“Burp Suite”的东西探测。看看他们的网站，我发现他们有一个名为“Payload fuzzing”的工具，它似乎可以完成此处描述的大部分工作:https://portswigger.net/burp/help/intruder_gettingstarted.html或此处:https://portswigger.net/burp/help/intruder_using.html#uses_enumerating - 整个工具对我来说有点腥味，所以我认为这可能值得进一步研究。还有其他人听说过这个工具集吗？

最佳答案

从这一点上分析不多，因为您正在寻找提示；这更像是一个长评论而不是一个答案。

客户端浏览器(或机器)或您的网络服务器上的恶意软件；或者未知的爬虫可能导致这种情况，这是不太可能的。在我看来，您的应用程序似乎受到了攻击。

让我们看看；

  • 真实示例(在评论中)显示 128 位十六进制访问 key 正在改组。 (accessKey 参数的值)
  • 只有值会被打乱，键不会。
  • 您说，请求来自特定用户。
  • 您说，请求来自特定浏览器客户端(Firefox 和 Safari)。

检查/做什么；

  • 检查您的日志系统是否正常工作。如果您使用的是第三方可配置记录器，这可能会把事情搞砸。 ( example )
  • Reproduce:采用完全相同的一组参数；使用相同版本的浏览器，看看结果是否相同。如果是这样，则可能是浏览器版本问题，这种可能性很小。
  • 检查是否有其他 Firefox 和 Safari 用户(具有相同版本)没有遇到此问题。
  • 既然你说这只是请求的一小部分，请检查相应的请求是否紧接着一个接一个地发出。 (同类请求不到一秒？)
  • 尝试追踪请求的来源。它们是否来自您怀疑的来源？您能否将来自不同请求的信息相互关联？多个IP组成一个子网？同一个IP不同账号？同一帐户在短时间内使用不同的 IP？
  • 有 apache-scalp 等工具, mod_sec , lorg检查/分析大日志文件以提取可能的攻击。<​​ i="">
  • 您还可以使用提到的一些技术 here手动发现或阻止可疑请求。

关于javascript - 什么可能在 JavaScript 中改组我的查询字符串参数构造函数？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/32572264/

javascriptstrongnoreferrernoopenerfirefoxsafariquery-stringbrowser-extension

有关javascript - 什么可能在 JavaScript 中改组我的查询字符串参数构造函数？的更多相关文章

  1. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法？ - 2

    总的来说，我对ruby​​还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  2. Ruby 解析字符串 - 2

    我有一个字符串input="maybe(thisis|thatwas)some((nice|ugly)(day|night)|(strange(weather|time)))"Ruby中解析该字符串的最佳方法是什么？我的意思是脚本应该能够像这样构建句子:maybethisissomeuglynightmaybethatwassomenicenightmaybethiswassomestrangetime等等，你明白了......我应该一个字符一个字符地读取字符串并构建一个带有堆栈的状态机来存储括号值以供以后计算，还是有更好的方法？也许为此目的准备了一个开箱即用的库？

  3. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  4. ruby-on-rails - 在 Rails 中将文件大小字符串转换为等效千字节 - 2

    我的目标是转换表单输入，例如“100兆字节”或“1GB”，并将其转换为我可以存储在数据库中的文件大小(以千字节为单位)。目前，我有这个:defquota_convert@regex=/([0-9]+)(.*)s/@sizes=%w{kilobytemegabytegigabyte}m=self.quota.match(@regex)if@sizes.include?m[2]eval("self.quota=#{m[1]}.#{m[2]}")endend这有效，但前提是输入是倍数(“gigabytes”，而不是“gigabyte”)并且由于使用了eval看起来疯狂不安全。所以，功能正常，

  5. ruby-on-rails - unicode 字符串的长度 - 2

    在我的Rails(2.3，Ruby1.8.7)应用程序中，我需要将字符串截断到一定长度。该字符串是unicode，在控制台中运行测试时，例如'א'.length，我意识到返回了双倍长度。我想要一个与编码无关的长度，以便对unicode字符串或latin1编码字符串进行相同的截断。我已经了解了Ruby的大部分unicode资料，但仍然有些一头雾水。应该如何解决这个问题？ 最佳答案 Rails有一个返回多字节字符的mb_chars方法。试试unicode_string.mb_chars.slice(0,50)

  6. ruby-on-rails - Rails - 子类化模型的设计模式是什么？ - 2

    我有一个模型:classItem项目有一个属性“商店”基于存储的值，我希望Item对象对特定方法具有不同的行为。Rails中是否有针对此的通用设计模式？如果方法中没有大的if-else语句，这是如何干净利落地完成的？ 最佳答案 通常通过Single-TableInheritance. 关于ruby-on-rails-Rails-子类化模型的设计模式是什么？，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.co

  7. ruby - 将差异补丁应用于字符串/文件 - 2

    对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl

  8. ruby-on-rails - Rails 常用字符串(用于通知和错误信息等) - 2

    大约一年前，我决定确保每个包含非唯一文本的Flash通知都将从模块中的方法中获取文本。我这样做的最初原因是为了避免一遍又一遍地输入相同的字符串。如果我想更改措辞，我可以在一个地方轻松完成，而且一遍又一遍地重复同一件事而出现拼写错误的可能性也会降低。我最终得到的是这样的:moduleMessagesdefformat_error_messages(errors)errors.map{|attribute,message|"Error:#{attribute.to_s.titleize}#{message}."}enddeferror_message_could_not_find(obje

  9. ruby - 如何以所有可能的方式将字符串拆分为长度最多为 3 的连续子字符串？ - 2

    我试图获取一个长度在1到10之间的字符串，并输出将字符串分解为大小为1、2或3的连续子字符串的所有可能方式。例如:输入:123456将整数分割成单个字符，然后继续查找组合。该代码将返回以下所有数组。[1,2,3,4,5,6][12,3,4,5,6][1,23,4,5,6][1,2,34,5,6][1,2,3,45,6][1,2,3,4,56][12,34,5,6][12,3,45,6][12,3,4,56][1,23,45,6][1,2,34,56][1,23,4,56][12,34,56][123,4,5,6][1,234,5,6][1,2,345,6][1,2,3,456][123

  10. ruby - 什么是填充的 Base64 编码字符串以及如何在 ruby​​ 中生成它们？ - 2

    我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%

随机推荐