这是我第一次尝试翻译一篇漏洞挖掘文章，翻译它也是为了加深理解它。这是一篇很有意思的漏洞挖掘文章。
前几天在看fd的博客，偶然看到了这篇文章，虽然有点老了。但是思路真的牛皮。我决定花费时间和精力研究它们。我决定运用我对这个漏洞的理解来讲述他们。
查看源代码
<html> <head> <title>Google Toolbar API - Guide to Making Custom Buttons</title> <link href="../../styles.css" rel="stylesheet" type="text/css" /> ......
首先我们不管有没有rpo漏洞吧，先看最基础的，代码是不符合规范的
当我在sublime中输入<htm然后自动补全
代码的开头会有<!DOCTYPE html>
了解这个很重要，我们继续往下说。
rpo呢，简单点来说就是相对路径覆盖 ，源码中引用了相对路径css文件。
那么我们要做的就是覆盖这个css文件，导致css攻击钓鱼 or css-xss攻击?
现在我们知道，这算符合rpo攻击的一些条件的 1.没doctype 2.包含相对路径
下一步我们要做什么?
进行验证，他是否支持%2f，看看他是如何解析的:
尝试修改网站为:
当我们再次访问
我们发现页面正常访问，唯一的缺陷就是css失效了，它并没有显示404
为什么会css样式会失效?
让我们深入理解他们:
网址输入
服务器的理解:
浏览器的理解:
css样式表的理解:
没把/改成%2f之前:
css样式表:style.css
当把/改成%2f之后
css样式表:style.css
我们继续往前探测，我们发现它影响*style.css ，可以覆盖他们，但是这范围太小了。
当输入:
浏览器理解:
css样式表:style.css
经过实验证明，理论上我们可以css覆盖*/style.css ，但是我们再次往上层编码，发现这是不行的，会出错。所以css覆盖止步于:*/style.css
现在我们需要个契机，导致它能css覆盖成功。 我们在*寻找某个自定义内容的点，希望通过它能够css覆盖成功。
我们发现某个接口
当我们访问这个接口的时候会跳转到:
这个跳转链接处有个q参数搜索，那么我们在接口处?q=1
会进行二次跳转，跳转到1
那么我们尝试覆盖css
在原来接口处?q=
他会跳转到:
让我们查看源代码:
css代码成功植入，虽然他不在style样式表中。
为什么只能使用接口而不能使用跳转链接进行攻击?因为我们的css覆盖止步于:*/style.css
而我们的跳转接口在/tools/*下。
现在我们来利用它:
服务器的理解:://
浏览器的理解::
css样式表::/gallery?q=%0a{}*{background:red}/style.css
然后进行二次跳转:/gadgets/directory?synd=toolbar&frontpage=1&q=%0a{}*{background:red}/style.css
发现背景颜色变成了红色。我们css覆盖成功。
现在我们把改变颜色的代码变成xss攻击代码:ie7下执行
就翻译到这里吧。
这个人是作者
RPO攻击真的是一种被大部分人忽略的攻击，个人觉得危害很大，其实大家可以举一反三，它不仅仅会影响相对路径css覆盖，甚至他也能导致相对路径js覆盖劫持。我准备下一篇文章翻译他们。敬请期待。