百度站长工具链接提交js代码推送进化版，听说优化了加载速度和其它问题，和原提交代码相比变长支持https://网站等，原文来自百度站长学院。 使用方法和原来的代码一样，复制下面的代码放到你喜欢放的地方当然要能用才行。 <script> (function(){ var canonicalURL, curProtocol; //Get the <link> tag var x=document.getElementsByTagName("link"); //Find the last canonical URL if(x.length > 0){ for (i=0;i<x.length;i++){ if(x[i].rel.toLowerCase() == 'canonical' && x[i].href){ canonicalURL=x[i].href; } } } //Get protocol if (!canonicalURL){ curProtocol = window.location.protocol.split(':')[0]; } else{ curProtocol = canonicalURL.split(':')[0]; } //Get current URL if the canonical URL does not exist if (!canonicalURL) canonicalURL = window.location.href; //Assign script content. Replace current URL with the canonical URL !function(){var e=/([http|https]:\/\/[a-zA-Z0-9\_\.]+\.baidu\.com)/gi,r=canonicalURL,t=document.referrer;if(!e.test(r)){var n=(String(curProtocol).toLowerCase() === 'https')?"https://sp0.baidu.com/9_Q4simg2RQJ8t7jm9iCKT-xh_/s.gif":"//api.share.baidu.com/s.gif";t?(n+="?r="+encodeURIComponent(document.referrer),r&&(n+="&l="+r)):r&&(n+="?l="+r);var i=new Image;i.src=n}}(window);})(); </script> 原文:http://zhanzhang.baidu.com/college/articleinfo?id=1587

大家可能为了防止黑客对emlog博客后台暴力破解，在后台添加了验证码功能。 但即使在Emlog后台添加了验证码，也不安全，就跟没添加一样的。攻击者依然可以使用爆破工具批量猜测密码 代码分析 登录页面，在admin/globals.php下 //登录验证 if ($action == 'login') { $username = isset($_POST['user']) ? addslashes(trim($_POST['user'])) : ''; $password = isset($_POST['pw']) ? addslashes(trim($_POST['pw'])) : ''; $ispersis = isset($_POST['ispersis']) ? intval($_POST['ispersis']) : false; $img_code = Option::get('login_code') == 'y' && isset($_POST['imgcode']) ? addslashes(trim(strtoupper($_POST['imgcode']))) : ''; $loginAuthRet = LoginAuth::checkUser($username, $password, $img_code); if ($loginAuthRet === true) { LoginAuth::setAuthCookie($username, $ispersis); emDirect("./"); } else{ LoginAuth::loginPage($loginAuthRet); } } LoginAuth::checkUser是关键函数 我们看他实现的过程 是在include\lib\loginauth.php文件 public static function checkUser($username, $password, $imgcode, $logincode = false) { session_start(); if (trim($username) == '' || trim($password) == '') { return false; } else { $sessionCode = isset($_SESSION['code']) ? $_SESSION['code'] : ''; $logincode = false === $logincode ? Option::get('login_code') : $logincode; if ($logincode == 'y' && (empty($imgcode) || $imgcode != $sessionCode)) { return self::LOGIN_ERROR_AUTHCODE; } $userData = self::getUserDataByLogin($username); if (false === $userData) { return self::LOGIN_ERROR_USER; } $hash = $userData['password']; if (true === self::checkPassword($password, $hash)){ return true; } else{ return self::LOGIN_ERROR_PASSWD; } } } SESSION验证方面都不错，当登录失败会调用loginPage方法 public static function loginPage($errorCode = NULL) { Option::get('login_code') == 'y' ? $ckcode = "<span>验证码</span> <div class=\"val\"><input name=\"imgcode\" id=\"imgcode\" type=\"text\" /> <img src=\"../include/lib/checkcode.php\" align=\"absmiddle\"></div>" : $ckcode = ''; $error_msg = ''; if ($errorCode) { //unset($_SESSION['code']); switch ($errorCode) { case self::LOGIN_ERROR_AUTHCODE: $error_msg = '验证错误，请重新输入'; break; case self::LOGIN_ERROR_USER: $error_msg = '用户名错误，请重新输入'; break; case self::LOGIN_ERROR_PASSWD: $error_msg = '密码错误，请重新输入'; break; } } require_once View::getView('login'); View::output(); } 但是整个登录流程并没有立即对验证码的SESSION进行销毁。便导致了漏洞的产生 利用：整个流程中，只需要获取一次验证码，接下来就不用获取便可爆破了。 为了证实猜想，用易语言写了个简单的工具 先获取一次验证码 将密码随机写入脚本，进行登录验证，可以看到，调试出来的就是我们爆破信息，第六个空就是我们正确密码爆破成功的标志 解决办法 登录验证的代码上销毁验证码的session即可 admin/globals.php unset($_SESSION['code']); 此时我们在用程序爆破测试 可以看到，除了第一个密码错误以外，其他都需要验证码

最近在使用手机百度的过程中，卢松松在搜索结果中发现，网站的旁边出现了一个“箭头”按钮，点进去一看原来是“用户反馈”功能。如图所示： 手机百度启用站点反馈功能：会影响网站排名 搜索引擎 移动互联网 百度 微新闻 第1张 通过图片可以看到，在用户反馈时，出现了一些常用选项，例如“网站打不开”“搜索结果内容不一致”“侵犯个人隐私”“举报色情暴力、钓鱼网站”“搜索结果内容相关性差”等等一系列影响用户体验行为。 虽然没有明确说明该反馈会影响用户排名，但根据反馈的常见结果来看，这些选项经过用户反馈后会影响网站排名，尤其是移动端排名。 这个功能在PC端已经出现很久，尤其是“网站评价”功能，直接形成了一套特色产业链，很多做营销推广的朋友会在百度这里刷评论、刷网站点赞，个别站长因此也能获利颇丰。 手机百度启用网站反馈功能后，官方虽然没有一个明确说法，但通过用户的反馈在一定程度上会影响网站排名。