怎样利用XSS漏洞在其它网站注入链接？(2)

仅仅能索引不一定说明问题，如果如某些垃圾链接一样被Google忽略，没有链接的效果，那也不能利用来操控外部链接。为了验证这种URL上的链接是否有链接效果，Tom进一步做了实验。

Tom在Revolut域名的URL上注入一个链接，指向自己实验网站上以前不存在、刚刚创建的一个页面，提交Revolut的URL，没多久，Google就抓取了Tom自己实验网站上的新页面，而且索引了这个页面，出现在搜索结果中：

这说明，被注入的链接，至少是能起到吸引蜘蛛抓取的作用的。对权重流动和排名有没有普通链接一样的作用呢？Tom顾虑到可能会对正常搜索结果的影响而没有进一步试验了。

这里不得不说，国外很多SEO是很有情怀的。我在想，如果是国内SEO们发现这个等级的漏洞，会报告给搜索引擎补上漏洞吗？大概会把这个漏洞为己所用，运用到死吧。

如果这种方式注入的链接有正常链接的效果，对权重、排名有效，那么只要被黑帽SEO使用，对操控权重、排名显然有很大帮助，对搜索结果有多大潜在影响呢？

https://www.openbugbounty.org/ 网站上列出了12万5千多有XSS漏洞的网站，其中包括260个.gov政府网站，971个.edu域名网站，包括了前500个链接最多网站中的195个，想象一下潜在的影响会有多大。

当然，Google很自信，他们的防御机制应该可以鉴别出这种黑帽方法，我猜想Google内部调查说明，这种方法到目前为止没有被利用。不过，这是 Tom发布信息之前，现在呢？我估计有很多人已经在疯狂实验这个方法的有效性了。我这篇帖子发出来，国内肯定也会有SEO去尝试。那么，大规模滥用这种注入方法的情况下，Google的预防机制还会有效吗？

另一方面，几乎可以肯定， Tom的帖子发出来，会迫使Google必须要积极采取措施，补上这个漏洞，不能让XSS攻击注入链接真的成为有效的SEO作弊方法。想尝试的，尽快吧，很快就会没用的。

5月8号更新：Google在7号的Google I/O开发大会上宣布，Google蜘蛛将使用最新版的Chrome引擎，目前版本是74，以后都会保持使用最新版本。看来Google早就做了准备，所以这么有信心。