email - IE9 中损坏的 URL 参数

Question

我看到来自 IE9 桌面客户端的损坏的 URL 参数。链接是通过电子邮件发送的，所有损坏的 URL 都来自电子邮件的纯文本版本。

我几乎可以肯定它与我的堆栈无关(django，nginx，mandrill)参数的值具有完全转置的字符。原始字符是错位减 13 位(例如 rznvy_cynva = email_plain ，ubgryfpbz = hotelscom )。

以下是通过的一个损坏请求的示例:

GET /book/48465?sid=rznvy_cynva&order=q09362qs55-741722-442521-98n2-n88s4nnr87192n&checkOut=07-17-15&affiliate=ubgryfpbz&checkIn=07-16-15 HTTP/1.1" 302 5 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0)" 

所有带有错误 URL 的请求都具有与示例相同的用户代理。

与损坏的 URL 关联的 IP 地址不限于任何位置。

查找用户代理，这似乎仅限于桌面 Windows 7、IE9 用户。

Answer 1

它是收件人计算机上的反恶意软件。它获取链接并扫描您的页面以查找任何可能的漏洞。它使用 rot13 混淆来确保它不会采取任何不需要的操作(“立即购买”等)。

https://security.stackexchange.com/questions/48684/help-investigating-potential-website-attack-url-rewriting-and-rot-13-obfuscatio

解决方案是追踪哪些反恶意软件/公司正在执行扫描，并尽可能将您的网站列入白名单。