成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

安全->XSS

lanffy / 3173人閱讀

摘要：引言平時(shí)工作中常接觸到注入等等這些安全領(lǐng)域的知識(shí)。存儲(chǔ)型存儲(chǔ)型又被稱為持久型存儲(chǔ)型相對(duì)上一種較危險(xiǎn)。的危害劫持冒充登錄改變網(wǎng)頁內(nèi)容跳轉(zhuǎn)惡意導(dǎo)航遇到多次針對(duì)以上危害除第四種外其它見名知意。影響力和破壞力巨大因?yàn)槠鋫魅玖O強(qiáng)。

引言 
平時(shí)工作中常接觸到XSS、CSRF、SQL注入等等這些安全領(lǐng)域的知識(shí)。接下來準(zhǔn)備重溫整理一些概念,以便加深自己的理解,通過結(jié)合具體的實(shí)例（基于node應(yīng)用）。
XSS概念 
譯為跨站腳本攻擊,具體是指攻擊者在Web頁面里插入惡意Script腳本，當(dāng)用戶瀏覽該網(wǎng)頁時(shí)，Script代碼會(huì)被執(zhí)行，從而進(jìn)行惡意攻擊。
XSS分類 反射型

反射型又被稱作非持久型XSS, 是指把用戶輸入的數(shù)據(jù) "反射" 給瀏覽器,通過誘使用戶點(diǎn)擊惡意鏈接的方式。

href : xss?un=""
<%- un %>

存儲(chǔ)型

存儲(chǔ)型XSS又被稱為持久型(存儲(chǔ)型)XSS,相對(duì)上一種較危險(xiǎn)。例如下面示例在文章評(píng)論中輸入非法內(nèi)容

"/>
DOM型

輸入鏈接同反射型一樣,效果看起來也一樣,之所以多帶帶劃分作為一個(gè)分類,是因?yàn)槠湫纬稍蛱貏e,且是通過修改頁面DOM節(jié)點(diǎn)形成的XSS。

XSS的危害

cookie劫持,冒充登錄

改變網(wǎng)頁內(nèi)容

URL跳轉(zhuǎn),惡意導(dǎo)航(遇到多次)

XSS Worm

and so on

針對(duì)以上危害,除第四種外,其它見名知意。在次特此剖析下XSS Worm.

XSS Worm

譯為XSS蠕蟲,一般發(fā)生在用戶交互行為的頁面中,比如留言,站內(nèi)信等等。影響力和破壞力巨大,因?yàn)槠鋫魅玖O強(qiáng)。
一般其本質(zhì)基于存儲(chǔ)型,且攻擊者需要熟悉攻擊目標(biāo)網(wǎng)站的業(yè)務(wù),功能接口才能實(shí)現(xiàn)。

歷史上的XSS Worm情景,根據(jù)提供的關(guān)鍵詞search , 結(jié)合定義看一遍就能理解

2005年 MySpace.com(社區(qū)網(wǎng)站)被攻擊

2007年 百度空間

XSS預(yù)防

關(guān)鍵cookie字段設(shè)置httpOnly

輸入檢查,特殊字符 < > / &等,對(duì)其進(jìn)行轉(zhuǎn)義后存儲(chǔ)

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/88244.html

相關(guān)文章

  • 網(wǎng)絡(luò)安全xss

    一、XSS漏洞原理XSS，即跨站腳本攻擊，是指攻擊者利用Web服務(wù)器中的應(yīng)用程序或代碼漏洞，在頁面中嵌入客戶端腳本（通常是一段由JavaScript編寫的惡意代碼，少數(shù)情況下還有ActionScript、VBScript等語言），當(dāng)信任此Web服務(wù)器的用戶訪問Web站點(diǎn)中含有惡意腳本代碼的頁面或打開收到的URL鏈接時(shí)，用戶瀏覽器會(huì)自動(dòng)加載并執(zhí)行該惡意代碼，從而達(dá)到攻擊的目的。當(dāng)應(yīng)用程序沒有對(duì)用戶提...

    attack_tubai 評(píng)論0 收藏0

  • 安全-&gt;XSS

    摘要：引言平時(shí)工作中常接觸到注入等等這些安全領(lǐng)域的知識(shí)。存儲(chǔ)型存儲(chǔ)型又被稱為持久型存儲(chǔ)型相對(duì)上一種較危險(xiǎn)。的危害劫持冒充登錄改變網(wǎng)頁內(nèi)容跳轉(zhuǎn)惡意導(dǎo)航遇到多次針對(duì)以上危害除第四種外其它見名知意。影響力和破壞力巨大因?yàn)槠鋫魅玖O強(qiáng)。 引言 平時(shí)工作中常接觸到XSS、CSRF、SQL注入等等這些安全領(lǐng)域的知識(shí)。接下來準(zhǔn)備重溫整理一些概念,以便加深自己的理解,通過結(jié)合具體的實(shí)例（基于node應(yīng)用）。...

    jubincn 評(píng)論0 收藏0

  • XSS攻擊實(shí)踐

    一、前言由于瀏覽器同源策略，限制了頁面無法引用第三方資源，無法請(qǐng)求不同源下面的資源，影響了web的發(fā)展，所以瀏覽器出讓了一些安全策略來滿足web的發(fā)展。通過CSP安全策略來保證瀏覽器可以安全的加載第三方資源；通過CORS允許瀏覽器跨域請(qǐng)求；通過PostMessage來操作DOM但這些策略也給了黑客攻擊我們的站點(diǎn)的機(jī)會(huì)。web站點(diǎn)常見的攻擊方式包括：XSS攻擊，CSRF攻擊、Sql注入攻擊等。二、X...

    社區(qū)管理員 評(píng)論0 收藏0

  • 同源策略

    一、瀏覽器安全無風(fēng)險(xiǎn)的世界不存在，包括瀏覽器，我們知道Web世界是開放的，包容的。但是開放和風(fēng)險(xiǎn)是對(duì)立的。Web 世界會(huì)是開放的，任何資源都可以接入其中，我們的網(wǎng)站可以加載并執(zhí)行別人網(wǎng)站的腳本文件、圖片、音頻 / 視頻等資源，甚至可以下載其他站點(diǎn)的可執(zhí)行文件。比如你打開了一個(gè)銀行站點(diǎn)，然后又一不小心打開了一個(gè)惡意站點(diǎn)，如果沒有安全措施，惡意站點(diǎn)就可以做很多事情：修改站點(diǎn)的 DOM、CSSOM 等信...

    社區(qū)管理員 評(píng)論0 收藏0

  • 快速找出網(wǎng)站中可能存在的XSS漏洞實(shí)踐(一)

    摘要：一背景筆者最近在慕課錄制了一套跨站漏洞加強(qiáng)安全視頻教程，課程當(dāng)中有講到的挖掘方式，所以在錄制課程之前需要做大量實(shí)踐案例，最近視頻已經(jīng)錄制完成，準(zhǔn)備將這些漏洞的挖掘過程記錄下來，方便自己也方便他人。 一、背景 筆者最近在慕課錄制了一套XSS跨站漏洞 加強(qiáng)Web安全視頻教程，課程當(dāng)中有講到XSS的挖掘方式，所以在錄制課程之前需要做大量實(shí)踐案例，最近視頻已經(jīng)錄制完成，準(zhǔn)備將這些XSS漏洞的挖...

    Jason_Geng 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<