关联：征服 Ajax 应用程序的安全威胁AJAX 跨域请求 - JSONP获取JSON数据跨站脚本在媒体的帮助下，跨站脚本（XSS）成为了大家关注的焦点，当然它是绝对应当关注的。XSS 是 web 应用中最常见的安全隐患，许多流行的开放源代码的 PHP 应用程序受到 XSS 隐患的困扰。XSS 攻击...
分类：
其他好文 时间：
2014-12-21 19:22:34
阅读次数：
202
从互联网诞生起，安全威胁就一直伴随着网站的发展，各种Web攻击和信息泄露也从未停止。常见的攻击手段有XSS攻击、SQL注入、CSRF、Session劫持等。1、XSS攻击XSS攻击即跨站点脚本攻击（Cross Site Script），指黑客通过篡改网页，注入恶意HTML脚本，在用户访问网页时，控制...
分类：
Web程序 时间：
2014-12-19 18:53:15
阅读次数：
130
这个xss需要开启会员模块（想想光整出来的时候，意气风发的去看dede官网……）xss的位置为会员中心发布文章的地方然后选择文章->发表之后在详细内容中插入代码然后查看文章即可可能到这有人会问，尼玛说好的打管理员呢？别着急……因为xss代码只能放在onerror等里面，然后我一直没找到办法获得coo...
分类：
其他好文 时间：
2014-12-19 01:48:57
阅读次数：
184
方案 优点 攻击场景分析 安全性分析 安全性 性价比 硬件特征码 1、可自研，开发和维护都相对简单。 2、不需要花费购买成本。 假设条件1：YS站点存在XSS漏洞。 假设条件2：攻击者已经得到了用户账户口令。 ...
分类：
其他好文 时间：
2014-12-18 20:32:34
阅读次数：
188
HttpOnly Cookies是一个cookie安全行的解决方案。在支持HttpOnly cookies的浏览器中（IE6+，FF3.0+），如果在Cookie中设置了"HttpOnly"属性，那么通过JavaScript脚本将无法读取到Cookie信息，这样能有效的防止XSS攻击，让网站应用更加...
分类：
编程语言 时间：
2014-12-18 13:29:35
阅读次数：
311
CSRF攻击的全称是跨站请求伪造(cross site request forgery)，是一种对网站的恶意利用，尽管听起来跟XSS跨站脚本攻击有点相似，但事实上CSRF与XSS差别很大，XSS利用的是站点内的信任用户，而CSRF则是通过伪装来自受信任用户的请求来利用受信任的网站。你可以这么理解CS...
分类：
Web程序 时间：
2014-12-18 01:28:48
阅读次数：
1198
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，进而达到某些人的攻击目的。例如在有get接收的链接后面添加?id=19">会导致页面错乱，甚至还会有弹出框！下...
分类：
Web程序 时间：
2014-12-16 19:02:12
阅读次数：
239
记得之前看过一篇文章，这样来形容XSS “ 如果把浏览器看作WEB2.0后时代的操作系统，那么客户端脚本就相当于传统的应用程序，而XSS的攻击方式其实就相当于在被攻击者的系统上执行了一个木马程序。但这种“木马”有个很大的缺点，就是无法像传统木马那样在操作系统中安家，以后还能自动执行。 ”
这可能是对XSS的最好诠释了吧，但是XSS究竟是什么？下面就跟小菜来一窥其神秘面容吧。
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户...
分类：
其他好文 时间：
2014-12-16 15:08:19
阅读次数：
162
XSS在客户端执行 可以任意执行js代码 0x01 xss 的利用方式1. 钓鱼 案例：http://www.wooyun.org/bugs/wooyun-2014-076685 我是如何通过一个 XSS 探测搜狐内网扫描内网并且蠕动到前台的2.钓鱼，伪造操作界面钓鱼直接跳转document.l.....
分类：
其他好文 时间：
2014-12-16 13:24:05
阅读次数：
271
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，进而达到某些人的攻击目的。
下面是thinkphp里面的一段代码，用于过滤xss...
分类：
Web程序 时间：
2014-12-16 11:48:53
阅读次数：
289
