在使用成熟的框架编写Web应用程序时，有时候开发会处于永无止境的修改= 测试= 修改= 测试的状态。尽管如此，开发人员更专注于更改的功能和可视输出，而在安全性方面花费的时间却少得多。但是，当他们确实专注于安全性时，通常会想到的就是典型的事情，例如防止SQL注入或访问控制错误，但是对安全性的关注应该远 ...
分类：
Web程序 时间：
2020-01-10 11:04:37
阅读次数：
102
一、跨域安全限制（同源策略） 同源：协议+主机+端口相同 同源策略阻止从一个源加载的文档或脚本获取或设置从另一个源加载的文档的属性。 这种限制可以防止某些恶意攻击，但也会带来诸多不便。 解决方法： 1、document.domain + iframe （子域名代理） 1.1 知识点 （1）某一页面的 ...
分类：
Web程序 时间：
2020-01-07 18:17:12
阅读次数：
103
估计很多朋友都认为参数校验是客户端的职责，不关服务端的事。其实这是错误的，学过 Web 安全的都知道，客户端的验证只是第一道关卡。它的参数验证并不是安全的，一旦被有心人抓到可乘之机，他就可以有各种方法来摸拟系统的 Http 请求，访问数据库的关键数据。轻则导致服务器宕机，重则泄露数据。所以，这时就需 ...
分类：
编程语言 时间：
2020-01-04 18:25:32
阅读次数：
81
反射型XSS(get)： 不会进行过滤。 前端对输入长度做了限制，我们需要修改一下才能输入完整的payload。 我们输入的payload嵌入了到了 p 标签里面，被浏览器正确执行了 反射型XSS(post)： 参数内容不会出现在URL中 存储型xss： 不会进行过滤 输入 DOM型XSS： 查看源... ...
分类：
Web程序 时间：
2019-12-24 23:53:55
阅读次数：
167
sql注入是WEB安全中比较重要而复杂的一个东西。而且危害性比较大。 一般来讲SQL注入的话首先要识别注入点。一个是看能不能注入另外一个是看是什么类型的注入比如说字符，数字，搜索（？）等等 GET、POST、HEADER 专门针对一个waf进行测试的时候就要将这几个点全测试个遍，header中还包括 ...
分类：
数据库 时间：
2019-12-22 12:37:42
阅读次数：
110
web安全 实验报告 实验三 SQL注入 学生姓名 涂君奥 年级 2017级 区队 实验班 指导教师 高见 概 述 SQL注入漏洞，主要是开发人员在构建代码时，没有对输入边界进行安全考虑，导致攻击者可以通过合法的输入点提交一些精心构造的语句，从而欺骗后台数据库对其进行执行，导致数据库信息泄漏的一种漏 ...
分类：
数据库 时间：
2019-12-22 12:29:50
阅读次数：
150
一、文件包含 1.File Inclusion(local) 选择kobe测试 发现url出现变化 可以猜测此功能为文件包含，包含的文件为 file1.php，所以我在此盘符的根目录下建立了一个flag.php文件，再测试。 发现可以读取根目录下的flag文件，存在本地文件包含漏洞。 2.远程文件包 ...
分类：
Web程序 时间：
2019-12-21 12:12:48
阅读次数：
132
web安全 实验报告 实验四 file有关 学生姓名 倪文锴 年级 2017级 区队 实验班 指导教师 高见 1.概述 1.1简介 在 Web 后台开发中，程序员往往为了提高效率以及让代码看起来更加简洁，会使用 “包含” 函数功能。比如把一系列功能函数都写进 function.php 中，之后当某个 ...
分类：
其他好文 时间：
2019-12-21 00:29:26
阅读次数：
190
we安全对于web前端从事人员也是一个特别重要的一个知识点，也是面试的时候，面试官经常问的安全前端问题。掌握一些web安全知识，提供安全防范意识，今天就会从几个方面说起前端web攻击和防御的常用手段 常见的web攻击方式 1.XSS XSS（Cross Site Scripting）跨站脚本攻击，因 ...
分类：
Web程序 时间：
2019-12-20 15:24:06
阅读次数：
150
Xss一般是脚本代码，主要是JS的，但是也有AS和VBS的。 主要分为反射型，存储型，DOM型三个大类。 一般来讲在手工测试的时候先要考虑的地方就是哪里有输入那里有输出。 然后是进行敏感字符测试，通常来讲会把 < > " ' ( ) &？这样的敏感字符进行测试然后查看服务器有没有防御或者转义措施。 ...
分类：
Web程序 时间：
2019-12-18 21:29:18
阅读次数：
92
