突然发现每刷新一次百度空间博客的页面，就有如下网址恶意弹出：
http://www.danciquanjilao.com/
其实这是百度空间应用模块安全防范不够严谨导致的问题，下面就看我来详细给大家证明这一点！
开始以为是自己看错了，百度空间怎么会有恶意弹窗却没有技术发现呢？不过反复测试了一下，发现就是空间的原因。{dy}反应是自己添加的音乐播放器外链的文件有问题！可是播放N次歌曲都正常，而刷新页面就弹出那个网页，排除外链MP3的原因。
查看空间首页代码，没有发现有什么异常，查找所有的js调用，依然没有异常js。后来百度一下，只有百度贴吧有一个帖子反映了同样的问题，去那个发帖者空间查看一下，发现他的空间侧边也添加了一个QQ任意聊的应用模块，立即感觉是这个模块出了问题！
查看这个模块调用的代码，如下：
[url=]复制内容到剪贴板[/url]
程序代码
"mod_10507":{modID:"10507", modName:"任意QQ聊天", modType:"uwa", modLink:"http://act.hi.baidu.com/ow/uwa/0/1/5/10507.xml", modSta:0, modRef:{}},
主要是这个xml链接：http://act.hi.baidu.com/ow/uwa/0/1/5/10507.xml，在浏览器打开，发现如下代码：
[url=]复制内容到剪贴板[/url]
程序代码
<?xml version="1.0" encoding="utf-8" ?>
- <html xmlns="http://www.w3.org/1999/xhtml" xmlns:widget="http://www.netvibes.com/ns/">
- <head>
<meta name="author" content="webrush" />
<meta name="website" content="http://www.51an.com/q/qq.php" />
<meta name="description" content="QQ不加好友也能聊" />
<meta name="debugMode" content="false" />
<meta name="version" content="0.2" />
<meta name="apiVersion" content="1.0" />
<title>QQ不加好友也能聊</title>
- <style type="text/css">
- <![CDATA[ *{margin: 0;padding: 0}
]]>
</style>
- <script type="text/javascript">
- <![CDATA[
var showContent=function(){
var src = "http://www.51an.com/q/qq.php";
var id = "content10507";
var width = UWA.$element(id).clientWidth||UWA.$element(id).offsetWidth;
var height = 100;
UWA.$element(id).setHTML('<iframe width="'+width+'" height="'+height+'" frameborder="0" marginheight="0" marginwidth="0" style="overflow-x:hidden;border-style: none #ffffff solid;" src="'+src+'" />');
}
widget.onLoad=widget.onRefresh=showContent;
]]>
</script>
</head>
- <body>
<div id="content10507">加载中……</div>
</body>
</html>
注意红色部分，百度空间的模块应用工具，居然调用的是外部网站的代码！
继续打开红色标志的那个页面，里面的一个js文件：<script language="javascript" src="s/hac/hx43c.js" type="text/javascript"></script>里，赫然呈现如下弹窗代码：
[url=]复制内容到剪贴板[/url]
程序代码
thisHREF = document.location.href;
var cookieString = new String(document.cookie);
var cookieHeader = 'happy_pop=';
var beginPosition = cookieString.indexOf(cookieHeader);
if (beginPosition <0 && thisHREF !=http://hi.baidu.com/webrush){
window.open('http://www.danciquanjilao.com','_blank');
var Then = new Date();
Then.setTime(Then.getTime() + 24*60*60*1000 );
document.cookie = 'happy_pop=yes;expires='+ Then.toGMTString();
}
看看红色标记的部分，是不是正是那个讨厌的弹窗网站？！
至此我们xx明白，就是这个模块起的作用！所以出现了同样情况的百度空间用户，只需要到：
"空间中心-空间装扮-模块设置"中，取消这个模块的选项，然后保存设置即可。
不过这个代码的弹窗方式也确实够菜，每次刷新都弹，怎么可能不让人怀疑！如果以记录cookies的方式，每隔一定时间（如24小时）弹一次，这样就可能会让人以为错点了什么连接，难以让人察觉得到的。
这里志文对负责百度空间应用模块的技术员们作一下批评！百度又不是没有足够的空间和足够的技术来开发这样一个简单的模块，为何要引用外部的页面来偷懒？幸亏这次只是一个弹窗而已。如果是一个网页挂马，这段js起的作用不是弹出一个页面，而是下载大量的木马和病毒，那将会害了多少对百度空间信任的用户？值得引以为鉴！
