CSRF全称Cross Site Request Forgery，即跨站点请求伪造。 我们需要关注两点:一个是跨站点,一个是"伪造" csrf应该是这样的:受害者正在打开某网站>攻击者欺骗或者诱导受害者访问攻击者自己的网站>受害者访问一个攻击者站点>攻击网站会自动发送http请求给受攻击的站点>因为 ...
分类：
其他好文 时间：
2016-06-07 06:28:53
阅读次数：
177
http://www.cnblogs.com/xinhaijulan/archive/2010/08/21/1805116.html Session共享的解决方案 1、客户端SessionID值唯一； 对于不同的域名：主域名、子域名、跨站点域名或跨服务器域名，用户在打开页面时会产生不同的Sessio ...
分类：
其他好文 时间：
2016-05-25 01:56:32
阅读次数：
178
说明: 请求验证过程检测到有潜在危险的客户端输入值，对请求的处理已经中止。该值可能指示危及应用程序安全的尝试，如跨站点的脚本攻击。通过在 Page 指令或 配置节中设置 validateRequest=false 可以禁用请求验证。但是，在这种情况下，强烈建议应用程序显式检查所有输入。 异常详细信息 ...
分类：
其他好文 时间：
2016-05-17 19:42:55
阅读次数：
112
处理web表单表单需要Flask-WTF
在根目录创建一个配置文件
myblog/config.py
CSRF_ENABLED=True
SECRET_KEY='you-will-never-guess'
CSRF_ENABLED配置是为了激活跨站点请求伪造保护
SECRET_KEY是当CSRF激活后，建立一个加密令牌，用于验证表单
修改app/__init__.py...
分类：
Web程序 时间：
2016-05-12 15:11:03
阅读次数：
220
按问题类型分类的问题 使用 SQL 注入的认证旁路2 已解密的登录请求3 登录错误消息凭证枚举1 会话标识未更新2 跨站点请求伪造1 Missing "Content-Security-Policy" header 9 Missing "X-Content-Type-Options" header ...
分类：
移动开发 时间：
2016-05-08 10:27:54
阅读次数：
1606
报错信息:从客户端(Content="<EM ><STRONG ><U >这是测试这...")中检测到有潜在危险的Request.Form 值。 说明: 请求验证过程检测到有潜在危险的客户端输入值，对请求的处理已经中止。该值可能指示存在危及应用程序安全的尝试，如跨站点脚本攻击。若要允许页面重写应用程 ...
分类：
Web程序 时间：
2016-05-03 12:25:28
阅读次数：
136
阅读目录 XSS的种类和特点 XSS预防 总结 阅读目录 XSS的种类和特点 XSS预防 总结 XSS（Cross Site Scripting），又称跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。在WEB前端应用日益发展的今天，XSS漏洞尤其容易被开发人员忽视，最终可能造成对个人信息的泄 ...
分类：
其他好文 时间：
2016-04-29 22:00:44
阅读次数：
210
为什么使用django？1.支持快速开发：用python开发；数据库ORM系统，并不需要我们手动地构造SQL语句，而是用python的对象访问数据库，能够提升开发效率。2.大量内置应用：后台管理系统admin；用户认证系统auth；会话系统sessions。3.安全性高：表单验证，SQL诸如，跨站点 ...
分类：
其他好文 时间：
2016-04-07 20:26:47
阅读次数：
128
跨站点请求伪造 危害：可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务 可能原因：应用程序使用的认证方法不充分 技术分析：即使是格式正确、有效且一致的请求也可能已在用户不知情的情况下发送。因此，Web 应用程序应检查所有请求 ...
分类：
其他好文 时间：
2016-03-28 14:58:01
阅读次数：
402
CSRF是什么？ CSRF（Cross Site Request Forgery），中文是跨站点请求伪造。CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。 举个例子 简单版： 假如博客园
分类：
Web程序 时间：
2016-03-02 00:11:01
阅读次数：
187
