IE9 中损坏的 URL 参数

Question

我看到来自 IE9 桌面客户端的 URL 参数有问题。链接是通过电子邮件发送的，所有损坏的 URL 都来自电子邮件的纯文本版本。

我几乎可以肯定它与我的堆栈无关（django、nginx、mandrill）参数的值具有完全转置的字符。原始字符是错位的 1 减 13 位（例如，rznvy_cynva = email_plain、ubgryfpbz = hotelscom）。

以下是通过的一个错误请求的示例：

GET /book/48465?sid=rznvy_cynva&order=q09362qs55-741722-442521-98n2-n88s4nnr87192n&checkOut=07-17-15&affiliate=ubgryfpbz&checkIn=07-16-15 HTTP/1.1" 302 5 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0)" 

• 所有 URL 错误的请求都具有与示例相同的用户代理。
• 与损坏的 URL 关联的 IP 地址不限于任何位置。
• 查找用户代理，这似乎仅限于桌面 Windows 7、IE9 用户。

Answer 1

它是您收件人计算机上的反恶意软件。它获取链接并扫描您的页面以查找任何可能的漏洞。它使用 rot13 混淆来确保它不会采取任何不需要的操作（“立即购买”等）。

https://security.stackexchange.com/questions/48684/help-investigating-potential-website-attack-url-rewriting-and-rot-13-obfuscatio

解决方案是追踪哪些反恶意软件/公司正在执行扫描，并尽可能将您的网站列入白名单。

Answer 2

这是进入猜测领域，但我也猜你无法得到任何不的答案，所以这里是......

rot13 加密看起来并非意外。我有两个猜测；

1. 有人在共享他们的电子邮件并在链接中混淆查询参数，以破坏“立即订购”、“取消订阅”等链接，同时保持电子邮件的整体完整性。也许这是垃圾邮件报告工具或类似工具的一个功能？

2. 或者，查询是在测试网络中进行的，用户不应该点击链接，但那里的工具需要几乎不受限制的 Internet 访问；所以管理员设置了一个 HTTP 代理，它重写查询 URL 以拆除大多数带有参数的 GET 事务。 （我猜 POST 请求可能仍然有效？）

您观察到 IP 地址似乎是非本地化的，这与这些假设有些矛盾，但这可能只是意味着您正在查看 TOR 端点或类似的端点。