网站公共搜索框频繁出现nvOpzp类特殊查询串是什么情况

你日志里抓到的查询内容：

'nvOpzp; AND 1=1 OR (<'">iKO)),

行为属性 #

• 这是自动化漏洞扫描器的通用探测Payload，不属于正常用户的搜索请求。
  拆解下内容就能看懂：串里同时包含SQL注入测试用的单引号闭合符、布尔判定语句AND 1=1 OR、SQL语句分隔符分号，还有XSS测试用的尖括号、单双引号混写特征；里面无意义的乱码段nvOpzp、iKO是扫描器自带的特征标记，用来匹配站点响应，快速判断输入点是否存在未过滤的漏洞。这类请求都是工具批量自动发的，根本不是真人输入的搜索内容。

是否为恶意探测 #

• 是实打实的恶意探测行为。这类请求的目的就是摸遍公网站点的所有输入点，找没做防护的SQL注入、XSS漏洞，一旦探测到漏洞存在，后续大概率会跟进拖库、挂马、篡改页面、植入黑链等实际攻击行为。

站点是否存在安全隐患 #

• 这类探测请求本身不会直接造成破坏，有没有隐患完全取决于你站点搜索接口的防护逻辑：
  • 如果搜索接口采用参数化（预编译）方式和数据库交互，对用户输入的特殊字符做了合规转义，搜索结果回显到页面前做了XSS过滤，那这类探测打过来不会产生任何危害，属于公网站点每天都会碰到的常规扫描噪音，直接在WAF层加对应特征拦截这类请求即可。
  • 如果搜索接口是直接拼接用户输入生成SQL语句查询数据库，或者把用户输入的搜索词不做转义直接输出到前端页面，那就确实存在SQL注入、反射型XSS的安全风险，扫描器很快就能识别到可利用的漏洞，后续极有可能被真实攻击。

公网暴露的站点每天收到几十上百条这类探测是常态，不用过度焦虑，把输入校验、预编译查询、输出过滤这几个基础防护点做扎实，这类批量扫描基本都碰不到核心漏洞。

内容的提问来源于stack exchange，提问作者emanresu