这是一个创建于 3776 天前的主题，其中的信息可能已经有所发展或是发生改变。
我们学校的无线登录验证系统，广为流传一个漏洞：如果欠费了，在用户名前面加一个（半角）空格就可以登录并使用。
然后我试验了一下，加全角空格可以登录，但是上不了网，在后面加空格，也可以登录，但也上不了网。根据网页上返回的登录信息看，空格似乎被 url 编码了。
这其中的原理是什么呢？难道密码检查、欠费验证和是否上网采用了不同的验证方法？
 |
1
lxrmido 2015 年 9 月 14 日
建议加个\x1a 或者\x00 看看……
|
 |
2
xuan_lengyue 2015 年 9 月 14 日
忘了把用户名字符串 Trim 吧。
|
 |
4
zzNucker 2015 年 9 月 14 日
很明显，这几个业务点的验证方法没有重用。
|
 |
5
gamexg 2015 年 9 月 14 日 via Android
登录验证部分作了 Trim ，查询过期记录部分忘了 Trim 。
|
 |
6
Senorsen 2015 年 9 月 14 日 via Android
感觉这个漏洞快被封了…知道的人越来越多了
|
Select Language