3.cn京东短网址绕过白名单生成漏洞分析与修复

原创 已于 2024-04-30 20:24:49 修改 · 1.9k 阅读 · 1 ·
CC 4.0 BY-SA版权
Soujer
文章标签：

#web安全

于 2024-04-30 16:15:24 首次发布
Web安全 专栏收录该内容
14 篇文章 ¥399.90 ¥499.90
订阅专栏
本文作者晓杰分享了对3.cn京东短网址存在的白名单绕过漏洞的研究过程，揭示了如何生成短链接并指出其安全问题。晓杰已将漏洞报告给京东安全应急响应中心，提出域名白名单代码重写和链接同步校验等修复方案。

在这里插入图片描述

前言

大家好，我是晓杰，我是一个技术爱好者，喜欢研究一些各大厂商系统漏洞，后面一样公布我的分析过程，各大厂商看到烦请及时修复。

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，订阅后下拉最后查看

- 该文章请订阅后查看，

了解本专栏 订阅专栏 解锁全文
基于t.cn生成的短链接绕过白名单方案
Soujer
04-29 1007
晓杰以前做绿标短网址研究过相关的防洪技术，如今将一一公布相关技术源码，对你有用的话欢迎关注我！
2023_OWASP TOP10_漏洞详情
zz12345600354的博客
06-08 1091
3 、跨站脚本攻击（ X S S ） 3、跨站脚本攻击（XSS） 3、跨站脚本攻击（XSS）
京东 URL 分析（深入浅出）
打字爱好者。
03-27 1496
https://union-click.jd.com/jdc?e=1003156031&p=JF8BARkJK1olXDYDZBoCUBVIMzZNXhpXVhgcFR0DFxBCHD1WR0VJDVtfSg4PTRNQV3EKcDNCNnx0Ny4EWzJceCdqWjhWBX1cIjgDAQwQHTdXTg9cQl9HCANTUBRIVyx4RAlMA0UOVF9cCUsXBmYKElMXSlFcBhofBEkAUSsEXhhRCTZGI1gGejRcZwxYHDAXNlYDHUAbAAJnD2M4Gm
京东短网址高可用提升最佳实践 | 京东云技术团队
JDDTechTalk的博客
05-12 965
短网址，是在长度上比较短的网址。简单来说就是帮您把冗长的URL地址缩短成8个字符以内的短网址。当我们在腾讯、新浪发微博时，有时发很长的网址连接，但由于微博只限制140个字，所以微博就自动把您发的长网址给转换成短网址了。在微博和手机短信提醒等限制字数的地方来使用短网址，的确是一个不错的方案。短网址通常使用“短域名/短码”的形式，打开短网址网页会直接跳转到长网址页面。。
程序员福利：各大平台免费接口，非常实用
开拓者
11-12 2285
电商接口 京东获取单个商品价格接口： http://p.3.cn/prices/mgets?skuIds=J_商品ID&type=1 ps:商品ID这么获取:http://item.jd.com/954086.html 物流接口 快递接口： http://www.kuaidi100.com/query?type=快递公司代号&postid=快递单号 ps:快递公司编码
京东接口
精哥哥
01-20 1755
一个商品的请求接口为GET: https://p.3.cn/prices/mgets?skuIds=J_商品ID
获取京东商品价格的 接口api
Fly2024124的博客
03-22 525
5、居然还是一个get请求，真的太方便了，稍微对url破解一下，即可得到一个商品的请求接口为GET: https://p.3.cn/prices/mgets?2、一般这么搜索出来的是js信息，相关的内容最多也就五六条，我们一个一个看就可以了。3、这时候我们就专门的去看看这个js接口信息。4、价格接口找到了，返回数据还是json，方便提取，那只要看看请求方式（GET、POST）即可了。1、第一步，寻找接口的突破口，就是接口全文检索，关于这个价格的信息。3、这时候我们就专门的去看看这个js接口信息。
动态Token生成机制大揭秘（基于v1.5.7版本分析）：透视京东接口安全演进的5层防护
# 接口安全的现代攻防：从京东动态Token看移动防护的演进 在今天这个自动化脚本横行、黑产工具链高度成熟的时代，你有没有想过——为什么你在“双十一”抢不到一台iPhone，却总有人能秒光限量款？这背后，其实是一...
URL跳转漏洞实例
weixin_39157582的博客
01-31 2902
0x03 实际案例 a WooYun: 搜狗浏览器存在url跳转漏洞可被利用钓鱼 很老的 “@”字符 没有过滤啊 b WooYun: 百度URL跳转漏洞 百度MP3网存在URL跳转漏洞，已被利用进行钓鱼攻击，如图所示，攻击者利用被盗QQ向QQ群发送消息，钓QQ账户。下面是QQ消息中包含的钓鱼连接： http://mp3.baidu.com/j?url=http://toran.cn/1au7l ...
绕过反爬！京东API商品详情的动态参数加密与破解方案
最新发布
lovelin_5566的博客
03-06 2421
动态参数加密：京东的商品详情接口采用了动态参数加密技术，每次请求都会生成不同的参数值，从而防止爬虫程序通过重复请求获取数据。IP访问限制：京东会对频繁访问接口的IP地址进行限制，甚至封禁，从而阻止爬虫程序的进一步操作。验证码验证：在某些情况下，京东会要求用户输入验证码以验证身份，防止爬虫程序自动化操作。行为分析：京东会对用户的访问行为进行分析，如访问频率、访问路径等，以识别并阻止异常的爬虫行为。
生成淘宝短链tb.cn
小小淘客1724558923的博客
09-16 1万+
今天研究了个小功能接口，可以把淘宝域名下的链接转换为http://tb.cn这种形式的短链。 http://tb.cn这种这段的好处有很多： 1.可以直接在千牛、旺旺里发送，而不会被提示，警告 2.如果通过短信发送的话，用户可以直接一键唤醒手机淘宝APP 3.短链方便传播，避免长链的困扰 另外，c.tb.cn以及m.tb.cn也可以生成，各有各的好处 ...
15款最好用的新浪短链接（t.cn接口）在线生成工具
weixin_45096565的博客
10-22 4508
短链接已经广泛应用于各种场景，电商，微信，短信等等。那么今天给大家推荐15款t.cn、url.cn的短链接短网址在线生成工 具，都是我从市面数十款短链接短网址生成工具里面挑选的最为简便，最为稳定的短链接短网址生成工具。废话不多！ 1，青梅短网址 网站链接：http://qingmeidwz.cn 青梅短网址是发展的比较成熟的一款在线短网址短链接生成工具，一直是本着“简 ...
使用.net编写的 短连接(短网址)服务
weixin_33994429的博客
09-23 813
短连接大家都不陌生，例如新浪的 t.cn 、京东的 3.cn 、淘宝的 tb.cn 等等。都已经是家喻户晓的短连接域名。不知道有多少人像我一样，对短连接原理好奇而且尝试自建了呢？ 今天发布这个文章的目的，就在于分享一下我的自建短连接过程。首先解释下短连接的实现原理，相信很多读者，在看完原理之后，已经有能力自己编写这样一个工...
t.cn短链接,最新新浪t.cn短链接API接口使用详解
weixin_44663792的博客
03-14 7148
t.cn短链接生成接口是新浪微博官方对外公布的长链接转短链接的网址缩短接口。可以快速地将一个冗长的链接缩短生成10个字符以内的t.cn短链接。 实用场景 t.cn短链接的应用场景很广，譬如短信营销、邮件推广、微信营销、QQ营销、自媒体推广、渠道推广等，都会用到短链接。究其原因是在于短网址可以降低推广成本、用户记忆成本，提高用户点击率；在特定的场景下推广还能规避关键词，防止域名被屏蔽、被拦截，隐...
以短链服务为例，探讨免AppKey、免认证、Ajax跨域调用新浪微博API
weixin_34409822的博客
08-29 303
新浪微博的API官方提供了很多种调用方式，支持编程的，归根结底就是两种： 1.基于Oauth协议，使用Open API。(http://open.weibo.com/wiki/%E6%8E%88%E6%9D%83%E6%9C%BA%E5%88%B6%E8%AF%B4%E6%98%8E) 2.使用Weibo JS-SDK(http://open.weibo.com/sdk/js )。 ...
利用新浪API批量生成t.cn 短链接的接口有哪些？
weixin_45853151的博客
11-11 578
新浪提供了长链接转为短链接的API，可以把长链接转为t.cn/xxx这种格式的短链接。短链接对于一些商家来说使用价值非常大，故整理了6个较为好用的t.cn短链接批量生成接口。 1、快鸟短网址 随着移动互联网行业的的蓬勃发展，线上推广重要性越来越高，在推广的时候如果将长链接缩短一下，变成t.cn短链接可以获得更好的访问。 快鸟短网址是一个好用的长链接生成t.cn短链接工具，平台提供免...
t.cn 短链接生成，让你的链接更短，更安全
热门推荐
张圣晨的博客
02-08 3万+
参考：www.fengyunxiao.cn t.cn 短链接生成网址 http://url.tool.cc 注意，输入的域名需要带 http 或 https 前缀，前缀不同，生成的链接不同 若只输入域名，不带 http 等前缀，会报错，如图 {"error":"Error: Link Forbidden!","error_code":21
Python爬取京东商品信息-cookie登录、二次请求、来源检查
Aelous_dp的博客
07-20 5594
Python爬虫-爬取京东商品 因为要教实验室的其他“小朋友”，所以自己要在课余时间学下 Python，昨天突发奇想，之前在爬取淘宝的过程中免不了遇到问题，那么在爬取其他网站的时候也会遇到问题。俗话说：问题才是最好的老师。（PS：编的）那么就不墨迹，目标一转，爬一下京东，练练手，本文不对代码做过多讲解，只讲解遇到的问题。 首先查一下京东的 robots 协议？（一直看不太懂，还得好好查，嗯～）内容如下： User-agent: * Disallow: /?* Disallow: /pop/*.html Di
Web安全 XSS漏洞的利用（Beef工具）（点击链接就被黑的技术.）
网络安全领域___专研者.
03-18 4788
XSS漏洞的 概括： XSS又叫CSS（Cross Site Script）跨站脚本攻击，指的是攻击者在Web页面，插入恶意JS代码，当用户浏览该页之时，嵌入其中JS代码就会被执行，从而达到攻击的目的.（包含：收集用户的Cookie，添加账号，修改密码，提高用户权限等等.）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Soujer

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值