即将开启的潘多拉盒 RSS安全隐患探讨

　　RSS不光是给最终的浏览用户带来危险，在RSS的最大卖点之一“聚合”方面，写得不够严谨的代码甚至会导致聚合服务器的安全隐患。
以著名的共享开源软件lilina为例，在其PHP代码中进行include某页面操作的时候，用require_once(‘页面url’) 的方式进行引用。而问题就在于，如果在被聚合的多个rss源中，有一个恶意的站点，利用＜?与?＞标记进行php代码编写，那么当在聚合过程中，该rss的php代码部分事实上是在聚合服务器上被执行了。简单地来说，比如a站点的rss文件中有＜?echo ‘skylove’;?＞这样一行文字，那么b服务器如果对a站的这则rss进行聚合引用，而且b服务器恰好是使用php程序进行聚合，那么上面的那句代码，事实上就会在b服务器上被执行。此漏洞我是在车东先生的blog上了解到的，url是http://www.chedong.com/blog/archives/001047.html#more 。关于对此等可能包含有程序代码的rss文件的包含，php 4.3版本以后可以采用file_get_contents 函数来完成，详细可见http://cn.php.net/manual/zh/ref.stream.php 有详尽的解释和用法示例。

　　行文至此，大抵也是到了结束的时候。文章不长，对于如何进行恶意操作的细节更是未提及，或许有些意犹未尽？但相信有心的朋友已经可以从此文中了解到RSS目前存在的一些漏洞以及如何利用它们了，事实上比在web页上包含恶意代码更简单，因为根本没有进行必要的安全检查。而且目前的RSS浏览器大多内嵌了网页浏览的功能，却没做在浏览网页的时候进行代码安全检查的功能。因此事实上用RSS浏览器跳转到网页后比用ie直接浏览更为危险，因为连必要的基本安全检查也没有了。至于当前的解决办法呢——暂时没有太好的，因为目前的RSS浏览器中暂时没看到有限制js代码执行与ActiveX控件执行的功能。就目前而言，如果需要保证RSS浏览的安全性，天缘个人推荐试着使用Maxthon 浏览器附带的RSS阅读功能，至少在被跳转到恶意站点的时候，还有Maxthon本身可以进行网页的安全过滤。

　　此文写作的目的，是希望此文可以对RSS的浏览器作者在添加功能的时候有所帮助，同时也能使国内的杀毒厂商意识到RSS浏览器安全方面存在的一些问题，除了在web网页需要实时监控恶意代码外，RSS浏览器的实时监控或许也是不该放过的。目前就国内而言，利用到以上RSS漏洞的恶意站点并不多，这也同RSS 浏览方式在国内的普及和认同有关。但RSS浏览这一块存在重大的安全隐患，是很值得重视的。目前RSS 3.0的标准已基本制定完成（http://www.rss3.org/main.html），新设计的3.0中又新增了许多元素特性，不知道是“技术为人所用，还是人为技术所惑”呢。值得一提的是一位资深hacker　Aaron Swartz（其主页在http://www.aaronsw.com/）在自行设计的rss 3.0标准中（http://www.aaronsw.com/2002/rss30），有提出返朴归真的想法，用类似ini文件的格式来表达元素，完全鄙弃html代码解释只用纯文本包含内容。回想起从最早的纯文字邮件，到后来的多媒体邮件——我们真的回的去么？不管如何，希望RSS这一良好的信息表达方式能更好地为大众造福。

　　文章的最后，由于此文的特殊性，天缘不得不做个免责声明：由于此文中的代码稍加修改即可能造成实际测试时候被转向恶意站点，因此天缘仅保证在此文的首发站点，也就是唯一支付给我稿酬的yesky站点上此文中代码的正确性、安全性与完整性，用户从其他转载站点上依照代码进行测试所造成的后果均与本人无关。

　　作者介绍：天缘(skylove)，本名 曾伟 ，26岁，目前就职于西华师范大学网络中心。