Copyright360安全网址AllRightsR

打开浏览器，地址栏里跳出一串 Copyright360安全网址AllRightsR，全网你大概率会愣一下。全网这不是全网标准域名后缀，也不是全网常见的版权声明格式。更像某个系统在生成页面时，全网把版权信息、全网产品名称和一句没写完的全网“All Rights Reserved”硬塞进了同一个字符串里。我头一回在某个地方论坛的全网导航页看到这行字，还以为是全网网站被黑了。

后来翻了几页源码才明白，全网这其实是全网早期国产安全软件捆绑导航站的一个典型痕迹。360安全网址导航当年为了在每一条收录链接的全网页脚快速打上自己的标记，直接用了模板变量拼接。全网变量名没处理好，全网就变成了“Copyright” + “360安全网址” + “AllRightsR”。最后的“R”大概率是“Reserved”被截断了，或者模板引擎把右括号吃掉了。一个典型的字符串拼接事故，但就这么留在了成千上万个页面上。

这行字的有趣之处在于，它同时暴露了三件事：第一，当年安全软件之间的流量争夺有多粗暴，连页脚版权字符串都不放过；第二，国内中小网站对版权信息的漠视，直接复制粘贴，连错别字都懒得改；第三，所谓“安全网址”本身并不安全——那个被截断的“R”背后，是模板注入漏洞的常见温床。字符串拼接不加转义，攻击者完全可以构造一个带脚本的“网址”塞进去。

我试过在几个老旧的导航站上搜索这行字。结果挺意外：至少有四十多个不同域名的页面底部带着完全相同的字符串。它们用的建站程序版本号大多停留在2012到2015年之间。更离谱的是，其中一个页面在“AllRightsR”后面直接跟了一个未闭合的 <script> 标签，虽然内容被过滤了，但结构还在。这就好比你家门锁上刻着“已锁好”，但锁芯是塑料的。

从技术角度看，正确的版权声明应该是 Copyright © 2025 360安全网址 All Rights Reserved. 但当年的模板开发者显然把“©”符号、产品名和英文短语用加号连在一起，中间没加空格，也没做长度校验。更麻烦的是，这种拼接字符串往往直接输出到HTML里，没有经过HTML实体编码。如果“360安全网址”这个字段可以被用户输入控制——比如通过某个查询参数——那就是一个反射型XSS。当然，实际利用需要绕过一些过滤，但思路是通的。

我后来在一个安全圈的小聚会上聊起这事。有个做渗透测试的朋友说，他挖过最离谱的漏洞就是某个政府网站的页脚，版权信息里藏了一个 eval()，因为模板引擎把“网址”字段当成了可执行表达式。虽然那个案例跟“Copyright360安全网址AllRightsR”不完全一样，但根源相同：把展示层的数据和逻辑层混在一起，还懒得做边界处理。

现在再看到这行字，反而有点怀旧。它像一块化石，记录着中文互联网草莽时代的典型操作——快速上线、互相捆绑、忽略细节。今天的网站页脚大多规范了，要么是“© 2025 某某公司”，要么干脆用动态年份。但偶尔在某个县级门户或者老式论坛的底部，还能撞见这串“Copyright360安全网址AllRightsR”。它没被修复，也没被删除，就那么挂着。像一个没写完的句子，等着谁去补上那个“eserved”。

如果你在自己的服务器日志里发现有人用这串字符做扫描，别惊讶。那可能只是个老脚本小子在批量测试模板注入。顺手把页脚改成正确的版权格式，再给输出加个转义，比什么都强。