内容摘要：百度提示安全漏洞这事儿，我第一反应是：又来了？但点开详情页，后背有点发凉。 漏洞出在百度搜索的“快照”功能上。黑客能构造特殊链接，让用户点击后直接跳转到钓鱼页面，地址栏却还显示着baidu.com。这

百度提示安全漏洞这事儿，百度我第一反应是提示：又来了？但点开详情页，后背有点发凉。安全

漏洞出在百度搜索的漏洞“快照”功能上。黑客能构造特殊链接，百度让用户点击后直接跳转到钓鱼页面，提示地址栏却还显示着baidu.com。安全这不是漏洞传统意义上的“假网站”——域名是真的，证书是百度真的，页面却是提示假的。我试了下，安全在某个特定参数后加上一段编码，漏洞百度服务器会返回一个302跳转，百度目标地址完全由攻击者控制。提示这等于把百度的安全信誉当成了跳板。

更麻烦的是，这个漏洞被利用时几乎无迹可寻。普通用户看到的是百度官方链接，点进去却到了仿冒的银行登录页。我认识一个做安全测试的朋友，他说这种漏洞在黑市上能卖到五位数，因为信任链一旦断裂，用户根本防不住。你没法教所有人去检查URL的每一个字符，更别说看懂302和301的区别。

百度官方在漏洞报告平台上的回应倒是很快，标注了“已修复”，但细节没公开。我翻了翻技术社区的讨论，有人指出这类问题在搜索引擎里不算罕见——快照服务为了提速，经常要处理大量外部URL转发，参数过滤稍有疏漏就会出岔子。百度不是第一个栽在这上面的，谷歌几年前也修过类似的，但人家修复后公开了技术细节，百度这次只说了“受影响范围有限”。

说实话，我有点怀疑这个“有限”有多限。搜索快照是百度流量最大的功能之一，每天被爬取的网页数以亿计，哪怕只有万分之一的机会被构造攻击，绝对数量也够吓人。而且安全漏洞这玩意儿，往往是被发现的那一个最容易被复制——攻击者看到修复公告，反推漏洞原理，换个参数又能打一遍。白帽子报漏洞是好事，但修复公告有时候反而成了攻击者的“教程”。

我自己的习惯是，现在看到百度搜索结果里的快照链接，会先复制URL到记事本里检查一遍，再决定要不要点。麻烦是麻烦了点，但总比中招强。你要是经常用百度搜资料，也留个心眼：如果快照页跳转后让你输入账号密码，别急着敲键盘，先看看地址栏有没有变成奇怪的域名。真的，多花五秒钟，能省掉后面一堆麻烦事。