给极狐 GitLab SaaS 安装百度统计代码统计仓库访问量

首先,声明我这个方法是利用了一个不是漏洞的漏洞做到的,官方随时可能修复导致失效,在极狐 GitLab SaaS 上线之前我就已经反馈给了官方:https://jihulab.com/gitlab-cn/saas-feedback/-/issues/10,但可能似乎没什么危险就搁置了,那我们就可以利用这个不算什么漏洞的漏洞做点什么。

不是漏洞的漏洞
我先解释一下这个不是漏洞的漏洞是咋回事,就是咱们在 README.md 的自述文件中可以引用图片,然后当其他用户访问的时候,浏览器就会去访问这个图片地址,那我们可以给这个图片地址加点“调料”,比如我们自己自建一个统计系统,然后把图片地址改为我们自己的统计系统,这样用户访问的时候就会被动的、并且是无感知的访问我们的资源。
当用户请求我们的资源时,我们作为服务器端可以获得用户的访问时间、用户的IP地址(间接获得省市地址)、使用的浏览器UA。
百度统计的原理
本文不是讲百度统计,所以不多说,只说必须的知识。
百度统计的代码原理,其实就是在我们的页面上通过JS插入了一个假图片,然后通过 get 请求参数进行传参,其实就是请求这个假图片地址:https://hm.baidu.com/hm.gif 。
然后它有N多个参数,但极狐 GitLab SaaS 页面有转义来防止 XSS 攻击,所以我们无法运行 JS 代码,很多参数都抓取不到,所以其他参数我就不介绍了,但有一个固定的参数si,也就是我们的百度统计网站id:https://hm.baidu.com/hm.gif?si=6eae1f418a89e09bdc11501c4774ed35
给极狐 GitLab SaaS 安装百度统计
我们了解了这个不是漏洞的漏洞,还有百度统计的基本运行原理,然后加以利用,在我们项目的 README.md 自述文件中引用这个百度统计假图片,下面是 Markdown 语法,当然 html 也行:

这样一来,只要有人访问了我的项目首页,我就可以在百度统计中看到,访问的IP数、UA数、PV数、地域分布、访客浏览器、新老访客比例。



其他平台行不行
也许你也想如法炮制,去其他的平台上试试,不过,目前 Github、Gitlab 这两大平台都会替换 README.md 自述文件中引用的图片地址为自己的导致失效,其他的平台可能也存在这个不是漏洞的漏洞,加以利用,最后,祝各位玩得开心。
关于极狐GitLab 的101件你想说的事 101 创作营:https://gitlab.cn/jihulab101
商业用途请联系作者获得授权。
版权声明:本文为博主「任霏」原创文章,遵循 CC BY-NC-SA 4.0 版权协议,转载请附上原文出处链接及本声明。
相关推荐
猜你还喜欢这些内容,不妨试试阅读一下评论与留言
以下内容均由网友提交发布,版权与真实性无法查证,请自行辨别。微信订阅号
扫码关注「任霏博客」微信订阅号- 你好,我想问一下如果是分析型的数据库要怎么制作docker镜像呢 是修改V008R003C002B0320版本号吗
- 可以的,我也正在开发分享的程序,可以邮件或群联系我都可以,关于页面里有联系方式:https://www.renfei.net/page/about 。
- 有破解软件的需要可以私下联系您吗?
- 您好,手机APP只是个客户端,用于数据呈现展示,数据均保存在服务器上,只留个APP没有任何用处,无能为力哦。
- 老哥 看你弄了这么多软件好厉害啊。 我有个软件 我买过几个小会员 没用几天 然后商家跑路了,软件服务器关闭了,连不上去 用不了。 你能做成一个打补丁版本可以本地用的么? 方便看下么?https://haodezhe.lanzouw.com/iD0f30h9joza 谢谢老哥!
- 您好,由于版权投诉和我国知识产权法的完善,我已经下架所有破解软件的下载链接了。
- 请问怎么下载呀
- 我保存的License在:https://gitlab.com/renfei/KingbaseES-V8-R3/-/tree/master/License ,开发版是长期有效的,只不过限制连接数,现在官网好像已经下线 V8R3 的下载页面了,其他版本我也不确定是否过期
- 这个版本的license有没有
- 序列号长度不对呀
- 优雅的源代码管理(二):Git 的工作原理
- 优雅的源代码管理(一):版本控制系统 VCS(Version Control System)与软件配置管理 SCM(Software Configuration Management)
- ChatGPT 开发商 OpenAI 买下极品域名 AI.com
- 火爆的 AI 人工智能 ChatGPT 国内注册教程、使用方式和收费标准
- 解决 SpringCloud 中 bootstrap.yml 不识别 @[email protected] 参数
- Cron表达式书写教程搞定Linux、Spring、Quartz的定时任务
- 阿里云香港可用区C发生史诗级故障
- 国产统信UOS服务器操作系统V20提供免费使用授权
- 开源站长推送工具效果评测推荐(百度/必应/谷歌)
- 获取公网IP服务「ip.renfei.net」升级增加地理定位数据字段公示