WooYun.org

背景：
_viewReferer是之前测试CSII的网银时发现的一个隐藏的参数，伴随着CSII开发的网银的各个功能进行传递，根据测试与观察，判定其功能为页面出现错误时，需要跳转加载的某JSP页面，其值是预先设置的，可能是错误处理提示页面，也可能是上一个功能页面。
Tips：以下截图出自多家银行。

测试发现，我们可以强制给某个页面传递_viewReferer参数，并尝试覆写其值。
例如：默认的预登录页面是没有_viewReferer参数的，我们直接加上，并尝试覆写。
在极小部分的Response中可以明显观察到，该参数值被覆写，但更多情况是，在Response中观察到覆写“失败”，该值未变化：

但经过反复测试，实际上，覆写是几乎每次都可以成功的。因为_viewReferer加载JSP页面是有前提的，就是本身的页面出错，那么我们可以尝试构造错误，例如删掉某个参数，或给某个参数赋一个畸形的值，这样程序就会尝试去加载_viewReferer指定的那个JSP，又因为_viewReferer的值被我们覆写了，故我们可以控制程序去加载任意该目录下的JSP文件（不一定每个页面都会被我们构造的畸形数据引发程序错误，但概率很高，多找几个页面几乎100%能找到）。
如下图所示，删除了某个参数，诱发程序报错，程序乖乖报错，由于并且我们覆写了_viewReferer参数，故程序尝试加载我们覆写的文件名：

有时候是自定义错误页面，但不影响漏洞的利用：

本来此漏洞就是个单纯的变量操纵，但由于CSII程序设计该参数的目的本身就不是为了让用户控制，故未进行数据有效性校验，所以我们接着测试，顺便加上截断符号，读到了根目录下js文件夹下的js文件：

以上部分，个人随机测试了多家银行，就单单测试登录页面，存在此风险（本地文件包含漏洞）的就有2/3左右，要是考虑到登录后的业务功能页面，几乎可以全中。
理论部分就说到这儿了。