https://dahi.icu/zh-sg/tags/bug/Recent content in Bug on Dahi — 开源技术与云基础设施Hugo -- gohugo.iozh-SG© 2026Wed, 04 Jun 2025 09:25:04 +0000https://dahi.icu/zh-sg/posts/coolapk-any-pic/Wed, 04 Jun 2025 09:25:04 +0000https://dahi.icu/zh-sg/posts/coolapk-any-pic/<h2 class="relative group">发帖原因 <div id="发帖原因" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 -start-6 not-prose group-hover:opacity-100 select-none"> <a class="text-primary-300 dark:text-neutral-700 !no-underline" href="#%e5%8f%91%e5%b8%96%e5%8e%9f%e5%9b%a0" aria-label="定位點">#</a> </span> </h2> <p>起因是我昨天在L站发帖发现引用我的图床出错了（我全站有反机器人规则）。然后突然想起来了这个酷安漏洞，<strong>不知道</strong>现在还有没有。</p> <p>由于本人之前一直活跃于水深火热，对官方乌烟瘴气的酷安社区，而酷安因为我使用插件以及利用（没干坏事）这个漏洞把我所有账号与设备全部封禁。</p> <p>但是他们修复bug好像修错了（我当时用这个漏洞给酷安帖子直接引用了酷安的OSS对象存储，然后我发现没有防盗链，闲着没事直接当博客的同步图床使了…主要是我觉得同步图片挺麻烦的）。</p> <p>本人态度详见<strong>结语</strong>。</p> <p>我无法直接与酷安官方取得联系，所以我打算公开一下。</p> <p>内容具体表现概括为：一种通过<strong>酷安302跳转api</strong>的绕过域名校验的图片引用方法</p> <h2 class="relative group">复现方法： <div id="复现方法" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 -start-6 not-prose group-hover:opacity-100 select-none"> <a class="text-primary-300 dark:text-neutral-700 !no-underline" href="#%e5%a4%8d%e7%8e%b0%e6%96%b9%e6%b3%95" aria-label="定位點">#</a> </span> </h2> <p>1.发布任意带图片的动态 2.使用抓包软件，去酷安编辑动态并抓包，找到图片部分，使用以下链接302API（我想不出为什么要设置成302，太不安全了）替换图片链接：</p> <div class="highlight-wrapper"><div class="highlight"><pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">https://coolapk.com/link?url=[图片的完整链接（URL）]</span></span></code></pre></div></div> <p>3.成功发布并引用外部图片 4.等待<strong>号没</strong></p> <h2 class="relative group">分析和启示 <div id="分析和启示" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 -start-6 not-prose group-hover:opacity-100 select-none"> <a class="text-primary-300 dark:text-neutral-700 !no-underline" href="#%e5%88%86%e6%9e%90%e5%92%8c%e5%90%af%e7%a4%ba" aria-label="定位點">#</a> </span> </h2> <p>酷安的防外链设置为<code>*.coolapk.com</code>，而外链API是使用了302代码，且对站外链接处理不当。没有处理OSS敏感机密。</p> <p>我们在外链跳转时应该使用严格的匹配，不随意302外链内容。我们的对象存储防盗链不应该设置为空，反代OSS时处理OSS桶的机密内容。我们的软件中的外链引用限制要保持最小化（避免泛域名这种的白名单）。</p> <h3 class="relative group">结语 <div id="结语" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 -start-6 not-prose group-hover:opacity-100 select-none"> <a class="text-primary-300 dark:text-neutral-700 !no-underline" href="#%e7%bb%93%e8%af%ad" aria-label="定位點">#</a> </span> </h3> <p>我酷安号没了，不知道酷安<strong>是否</strong>修复了此漏洞 不建议去拿大号试，也不要在自己登录过账号的设备试，我<strong>不知道</strong>我的酷安账号为什么被封，是盗链酷安当图床导致可能的被他人攻击还是用插件之类的什么原因，也<strong>不知道</strong>酷安会不会追究法律责任。这只是一个漏洞，本人不是酷安程序员，也没法对此漏洞进行修复。本人为滥用酷安外链的行为<strong>抱歉</strong>，并且在账号被封后已经<strong>注销</strong>酷安账号（无法联系到酷安管理员，酷安管理员不回我消息）。本人不对在酷安的行为负任何法律责任。本文仅为感想与技术交流用途，严禁恶意运用此Bug。</p>