前端安全方面，主要需要关注 XSS（跨站脚本攻击 Cross-site scripting） 和 CSRF（跨站请求伪造 Cross-site request forgery） 当然了，也不是说要忽略其他安全问题：后端范畴、DNS劫持、HTTP劫持、加密解密、钓鱼等 CSRF主要是借用已登录用户之手 ...
分类：
其他好文 时间：
2018-09-29 00:47:37
阅读次数：
215
1、xss的形成原理 xss 中文名是“跨站脚本攻击”，英文名“Cross Site Scripting”。xss也是一种注入攻击，当web应用对用户输入过滤不严格，攻击者写入恶意的脚本代码（HTML、JavaScript）到网页中时，如果用户访问了含有恶意代码的页面，恶意脚本就会被浏览器解析执行导 ...
分类：
Web程序 时间：
2018-09-19 23:32:38
阅读次数：
233
一、XSS 【Cross Site Script】跨站脚本攻击 恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。 1、Reflected XSS 基于反射的XSS攻击，主要依靠站点服务端返回脚本，在客户端 ...
分类：
Web程序 时间：
2018-09-04 19:50:04
阅读次数：
263
产生原因 HTTP 不具备安全功能。 在客户端可以篡改请求。 跨站脚本攻击 XSS 攻击方式： 通过提交的信息中带入 js 脚本或 html 标签。 提前闭合标签，有些甚至不用特殊处理。 执行操作或者引入三方 js 。 解决方案： 对提交内容进行编译，“" 转 “\>”。防止文本解析成标签。 ...
分类：
Web程序 时间：
2018-08-30 20:11:38
阅读次数：
217
客户端脚本植入 XSS跨站脚本攻击（跨站脚本攻击，输入(传入)自动执行恶意的HTML代码，如盗取用户Cookie、破坏页面结构、重定向到其它网站）：过滤<,>&，"等特殊字符 Sql注入攻击：预处理解决 跨站请求伪造 SESSION劫持 HTTP响应拆分 文件上传漏洞 cc攻击 DoS攻击 像tcp ...
分类：
Web程序 时间：
2018-08-29 10:49:07
阅读次数：
242
10.2动态HTML 通过调用客户端脚本语言js,实现对web页面的动态改造。利用DOM文档对象模型，指定想发生变化的元素。 10.22 更容易控制的DOM 使用DOM可以将HTML内的元素当作对象操作。 10.3 Web应用 10.31通过Web提供功能的Web应用。 10.32 与web服务器协 ...
分类：
Web程序 时间：
2018-08-19 19:05:58
阅读次数：
183
XSS攻击通常指黑客通过"HTML注入"篡改了页面，插入了恶意脚本，下面演示一个简单的例子： 这个服务端脚本的目的是将用户输入的数据显示到页面中；一般我们随便输入一段文字：桔子桑 页面自然显示：<div>桔子桑</div>； 但是别有用心的人可能会这么输入：<script>alert("hello ...
分类：
其他好文 时间：
2018-08-16 10:41:05
阅读次数：
140
XSS跨站脚本攻击：两种情况。一种通过外部输入然后直接在浏览器端触发，即反射型XSS；还有一种则是先把利用代码保存在数据库或文件中，当web程序读取利用代码并输出在页面上时触发漏洞，即存储型XSS。 危害：前端页面能做的事它都能做。（不仅仅盗取cookie、修改页面等） 1、 挖掘经验 XSS挖掘的 ...
分类：
其他好文 时间：
2018-08-09 01:14:23
阅读次数：
222
XSS攻击，跨站脚本,Client DOM XSRF,客户端跨站请求访问 ...
分类：
其他好文 时间：
2018-07-29 13:03:26
阅读次数：
131
本章首先介绍了一些常见的Web攻击手段。 1.XSS攻击（Cross Sites Scripting）,指跨站脚本攻击。攻击者在网页中嵌入恶意脚本程序，当用户打开该网页，恶意程序在浏览器执行，会盗取用户名密码,cookie,下载执行病毒木马程序，甚至是获取客户端admin权限等。 2.CSRF攻击（ ...
分类：
其他好文 时间：
2018-07-25 18:18:56
阅读次数：
169
