大西瓜的杂货铺

西瓜注：文章最后提到的OWASP的文档，应该是这篇

http://www.owasp.org/images/b/ba/AppsecEU09_CarettoniDiPaola_v0.8.pdf

然后可以看下徐工的Http Parameter Pollution 实例一则，里面还有他跟QZ两个人的讨论，我抽空再看吧，这段时间太忙了！！！

From:80sec

说到Http Parameter Pollution这个问题就会让我极度恼火,因为如此简单的问题会被一部分人想得无比复杂，甚至都会去忽略URL传参这种无比基础的问题，无奈给出下面的几个例子:

1. 正常的搜索，传一个参数Q，搜索关键词xss

http://www.google.cn/search?q=xss

2..同时传入两个参数Q，内容合并了

http://www.google.cn/search?q=xss&q=xss

3.将两个参数Q之间的&编码后，将搜索关键字xss&q=xss

http://www.google.cn/search?q=xss%26q=xss

4.将&q=xss全部编码后，将搜索关键字xss&q=xss

http://www.google.cn/search?q=xss%26q%3Dxss

先说说3,4吧，这个应该是常识了吧，&被编码后的部分内容，在没有查询符出现时将成为查询参数内容。

至于2，直接就说明了GOOGLE是存在Http Parameter Pollution风险的！

Http Parameter Pollution到底说的是什么，我就不多啰嗦了，大家去看OWASP的文档吧。安全就是基础，虽然WEB安全比较简单，但同样安全问题也是严肃的，我们需要认真对待。