【运维安全】-web命令执行/XSS -05

标签：应用程序   tin   技术   火墙   系统命令   就是   漏洞   命令执行漏洞   web应用   

如何预防：
    1. 如 php中禁用一些exec等命令执行的函数
    2. php程序运行在非root用户
    3. 其他waf防火墙 

二、web文件执行
Web应用程序通常会有文件上传功能，发布图片、招聘网站上发布doc格式简历，只要web应用程序允许上传就有可能存在文件上传漏洞

客户端验证可以绕过通过 抓包修改 文件名后缀或者mime类型，再重发

三、XSS漏洞
什么是XSS
XSS有什么危害
XSS的三种类型

XSS：
XSS又叫CSS(Cross Site Scripting),跨站脚本gongj，i常见的Web漏洞之一，在2013年度OWASP TOP 10中排名第三。

XSS是指***者在网页中嵌入客户端脚本，通常是JS恶意代码，当用户使用浏览器访问被嵌入恶意代码网页时，就会在用户浏览器上执行。

危害：
网络钓鱼、窃取用户Cookies、弹广告刷流量、具备改页面信息、删除文章、获取客户端信息、传播蠕虫

XSS的三种类型：
反射型
存储型
DOM型

【运维安全】-web命令执行/XSS -05

标签：应用程序   tin   技术   火墙   系统命令   就是   漏洞   命令执行漏洞   web应用   

原文地址：https://blog.51cto.com/cuidehua/2422245