CGI的漏洞

随着INTERNET的飞速发展在网上占有一席之地是每个公司乃至个人的迫切愿望。由其是交互式的网页更是吸引着每一个来访者，所以大家都喜欢在自己的网页上搞个留言板的东西，有水平低的就申请一个，有水平高的就自己编一个CGI程序。但不知个位知道否其漏洞实在是太多。
, j0 e) O, t0 H. a+ q: ^$ e5 b   首先我们来谈一谈留言板CGI程序的原理，这样才能更好的掌握下面的东西。CGI是这样工作的，它把用户（来访者〕输入的留言变为一个变量，然后把这个变量插入到显示留言的HTM文
: C+ w$ D( L  d' D0 X$ h; x. F件里，当然用户输入的是一些文本，如要在HTM文件里显示就要符合HTM的语言标准，所以在编写CGI程序时，编程人员会在里面输入特定的一些HTM语言标准。请看下面以常用的免费留言板GUESTBOOK为列。

设定用户输入文本为变量A
% f% R7 s* V0 N+ z1 c* U7 u在每次插入HTM文件时同时插入头尾HTM语法词如用户输入的变量A (当它插入到HTM文件时就显示了用户文本〕

但是我们如果采用敝屏的方法时，就能做我们想干的一切事。
9 {4 f2 S6 |1 m+ v; ]; Y方法如下：
8 x- c& X; Z" V& K. I& E在我们输入时打上这里你可以打上所有你知道的HTM语言(前后用来敝屏，一起输入〕
/ k% N7 U+ g9 i
' t7 F+ P- v2 A4 R: A( H这时插入HTM文件里的就是如下的东西你的输入一定要用HTM标准
9 {8 \$ P0 D" n/ d8 f) `
* A- p  C) T+ E1 S; c$ n如你想在留言本里显示你的GIF图片，可以这样输入
: d! e6 _% V7 b2 t% J# Y3 o) N2 W
; N5 k( a4 |+ |2 ^请您留言：
& M- R! b) u& M/ T***********************************************************
/ C* R5 R% r6 h*
7 ?1 B1 [7 x$ C* `1 ?  Q
8 w! L# Y4 P) c3 [8 I*
* * height="77" alt="要显示的字">
/ o6 {1 L) k/ Y
3 [8 N( ^1 y9 o* I/ h0 v+ b*
  r  h9 r' N' w6 l4 V$ w- A3 l* *
* *
* *
* *
* s' L) b/ I6 d9 F* *
***********************************************************
. z  V- B5 `; P

一旦我们敝屏之后就可以在他人的留言板上做一切事，甚至你可以输入一段JAVA SCRIPT 让其它来访留言板的人不断的打开新的浏然器窗口。这样做的话他（她〕的留言板就给你炸了，还是不要这样做，损人不利己。
# K* k5 v1 K+ x8 X: J& ?, J& M
有些CGI会加上一些条件语句如IF......当它发现你输入的有HTM语法时会报错，如"广州网易"提供的留言板当然要敝屏这个IF也很容意，大家动动脑子吧！
8 b# ]" h' `9 S4 e. V以后有空我再把它写出来。
( O" A5 I3 D# l8 ^, ^