我只是不小心将 wget 命令复制粘贴到 ebay 搜索框中并收到以下错误：
它发生在wget http://google.comorcurl http://google.com或任何其他 URL...
如果您只是输入一个 URL，但如果您在它前面加上 wget 或 curl，它似乎确实会清理输入并删除斜杠。他们可能在做什么导致 wget 或 curl 命令绕过他们的清理并产生不同的结果？
为什么 ebay 搜索框中的 curl/wget 会出现拒绝访问错误？
信息安全
Web应用程序
网页浏览器
渗透测试
攻击
开发
2021-08-20 02:33:27
2个回答
我假设ebay.com 安装了一个 Web 应用程序防火墙，它将您的请求识别为可能的攻击。因此，您的请求被取消并且您收到一个HTTP 403 - Access Denied. Apache、nginx 和 IIS 的 mod_security WAF 行为类似：如果它处于预防模式，它也会HTTP 403默认响应 [1]。
大多数 WAF 都有某种规则集。他们检查您的请求是否符合他们的规则之一，可能使用正则表达式。我进一步假设这些规则之一看起来像(wget|curl) (http|https)://.*[2]。url 中双斜杠的“清理”最有可能发生在应用程序级别。类似的字符串asdf//也将缩短为asdf.
[1] https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#secdefaultaction
[2] 为了便于阅读，跳过了正斜杠的转义
E-Bay 是一项安全服务，您没有使用 curl 命令传递安全凭证。最有可能的是，您可能需要使用 base64 加密的用户名：密码组合或 OAuth 不记名令牌传递“身份验证”标头。
其它你可能感兴趣的问题