原文引自:http://www.daxu.net/archives/352.html
作者:大徐
博客:http://www.daxu.net
看
http://hi.baidu.com/haomm 的时候看到这样一段话:
百度分步骤的屏蔽了很多js函数,屏蔽的函数如:'javascript', 'vbscript', 'expression',
'applet', 'script', 'embed', 'object', 'iframe', 'frame',
'frameset',等等...为什么不一次性屏蔽?可是对于以前已经有的js并没有屏蔽,这样做无疑欠妥,就如看大门的同志阻止小偷进入,可对已经进
去的小偷同志或内部小偷不予理睬.例如即使js被过滤后的今天,某比较优秀的空间(为数极少)通过一段已嵌入的js,读取外部的js数据,即可执行任何自
己想执行的js代码.
进而发现一篇文章《百度空间存在js破坏漏洞,部分用户被威胁删除数据》,其中有一段比较值得思考:
百度空间的发布,给很多国内网民带来了福音,带来了中国space的希望,但与此同时,百度空间的"CSS教程"泛滥至极,访问量从高到低各层次
都是在大肆宣传自己复制的css代码(不排除有个别原创),而真正拿hi.baidu.com作为自己space的,专业的博客