关于我如何强开360站长站点子链这回事

对于各大站长来说，站点权限可谓是相当重要。关键词的搜索置顶和首页的质量都会影响用户对于该站点的印象。如果站点的权重高，并且受到搜索引擎的喜爱 ，那么流量也会倾向于你的站点。不过我并不是搞SEO的，对于这些如果有兴趣的话，还是得问问SEOer。废话说了这么多，那么接下来我会给大家分享我是如何强制获取360站长的站点子链权限这回事。

为了确保文章的真实性，我将申请站点的截图附上，并且我会分享自己拿到站点子链权限的思路，但是详细过程不会公开。

用到的工具

本次使用的工具也是平时到处可见的，所以根据相关规定也是可以告诉各位SEOer以及所有观看本文的好奇人士：

• 浏览器开发人员工具
• F12 （牛批黑客常用按钮）
• 可以修改HTTP数据的工具

各位看官看到这里，也不要觉得我话多，毕竟文章还是要凑点字数，下方就是各位都想看的获取思路

获取思路

由于本人对于CTF的了解不是特别深，所以我不会像那些高手一样直接跑去扒后台。对与本次事件，我觉得代码审计就足够了（个人认为，大佬勿喷）。

首先，我观察了站点子链这个页面的构成以及在选择站点添加数据的请求方式，这里我贴个GIF给大伙儿看看。

以下内容划重点，看懂的就看懂了，没看懂的还是没看懂：

这里是很典型的ajax，选择站点后请求数据并获取返回值，判断网站是否有权限添加站点子链。在很多网站也会使用这个方法，例如我在本站文章页添加的自动推送也是使用ajax。

以上内容，周树人和鲁迅都觉得很赞。

这时候我会猜测，我修改获取的返回值，是否能够达到获取权限的结果？

这种思路和想法和上次的抓包修改支付数据相同，不过后端都会校验数据，一般是不会存在前端没有，而后端确有后端对应的功能，而本次360站长就做到了，对于一个安全公司，这种小漏洞确实让人难免浮想联翩。

为了得到比较数据，我也对百度站长和搜狗站长进行了测试，不过二者都不能通过修改返回值来达到获取权限的效果。这也许就说明了，360站长平台一开始是将所有站点权限对各位站长开放，不过由于其他原因导致功能回调。这恐怕是解释此次BUG的最好说法了。

除开站点权限，其他所有功能都可以手动申请，例如结构化数据和新闻源等等，不过都需要人工审核。提一句，站点子链也需要人工审核，如果你的站点本身权重高，那么手动或者强制开通站点子链后，人工审核也是会通过的（记得备案）。

事件影响

本次“强开权限”事件造成的原因是：开发者并未对提交的数据进行校验。想象一下，如果本次事件被黑帽SEOer知晓，并且掌握了如何开启权限的“工具”，那么本次360搜索又会是一次“大换血”。因为在添加站点子链时，可以添加主链名称，（针对移动端），而这里的主链名称就意味着：例如我添加的主链名称是360，那么移动端搜索360则会直接将我的站点置顶，我将官方给的线上生效样式参考给大家看下：

类似百度站长的站点属性，它也会给你相应的“品牌展现”和“站点LOGO”。对比以前360搜索乱象：搜索就医问题却来到了没有医疗资格的站点等等，可想而知后续的“大换血”有多恐怖。

不过这些都是我的猜测，一切的一切，都得让时间去验证。后续我也会将本次事件反馈给站长平台官方，至于平台是否理睬，我也就不得而知了。

毕竟一个前脚刚进开发大门，后脚还没抬进去的程序猿，“挖洞”又是多么一件令人烦恼的事情。

各位看官看到这里，不如给卑微的程序猿点一个赞，或者在下方发发牢骚，或许某天你就发财了呢。最后祝各位新年快乐，过个好年！

事件后续

2022年11月12日13:49:31

在我提交给漏洞盒子后，360官方也对这个漏洞进行了确认。但360站长平台也没有修复这个漏洞问题，而是直接关闭了360站长平台的子链申请。

漏洞编号为：vulbox-2022-0765778，给了2积分，没啥用。