1. 最近在用python的flask框架写东西，顺便把httponly的作用拿出来说下，主要是防止XSS漏洞攻击。 以下hello.py都是用flask写的 2. 代码里加入两个cookie值，其中一个带有httponly标签，另一个不带httponly标签。...
分类：
Web程序 时间：
2014-11-06 20:20:40
阅读次数：
316
在apache commons-lang(2.3以上版本)中为我们提供了一个方便做转义的工具类，主要是为了防止sql注入，xss注入攻击的功能。 commons-lang常用工具类StringEscapeUtils使用 - wjoygz - pauls private zone 1.escape...
分类：
其他好文 时间：
2014-11-06 17:54:59
阅读次数：
212
最近项目上线，请第三方公司进行了一次渗透性测试，被发现存在多处XSS攻击。由于我们对于URL的Get请求已经通过URLFilter进行了特殊字符过滤，Get请求的漏洞已经被封堵，但是对于Post请求考虑到我们项目存在表单提交，富文本编辑等功能，不敢贸然的使用Filter对关键字进行过滤。
为了解决上述问题，我们采用了OWASP的一个开源的项目AntiSamy来彻底解决XSS攻击问题。AntiSa...
分类：
其他好文 时间：
2014-11-06 17:27:12
阅读次数：
389
偶然发现！下面是一个非常简单的jsp页面：Hello World! Accesses to page since server reboot: Click to Download "); String name = request.g...
分类：
其他好文 时间：
2014-11-05 19:34:52
阅读次数：
343
跨站脚本攻击（CrossSiteScripting）指的是恶意攻击者往Web页面里插入恶意脚本代码，当用户浏览该页之时，嵌入其中Web里面的脚本代码会被执行，从而达到恶意攻击用户的特殊目的。为了与层叠样式表（CascadingStyleSheets）的缩写CSS区分开，跨站脚本攻击通常简写为XSS。为了更..
分类：
其他好文 时间：
2014-11-05 09:20:11
阅读次数：
198
一直以来在项目中使用Apache Velocity模板引擎作为视图层输出，为了解决XSS漏洞，需要对输出到页面的内容进行HTML转义，我一般采用2种方式实现： 使用过滤器?Filter，在其中进行?HttpServletRequestWrapper?的...
分类：
Web程序 时间：
2014-11-04 17:43:28
阅读次数：
778
摘要：XSS跨站脚本攻击一直都被认为是客户端Web安全中最主流的攻击方式。因为Web环境的复杂性以及XSS跨站脚本攻击的多变性，使得该类型攻击很 难彻底解决。那么，XSS跨站脚本攻击具体攻击行为是什么，又该如何进行有效的防范呢？本文对此进行了有针对性的具体实例分析。XSS跨站脚本攻击一直都被认为是客...
分类：
Web程序 时间：
2014-11-04 17:13:06
阅读次数：
200
控制器中直接写SQL语句,未封装
//
// ViewController.m
// 1.sqlite3基本操作
//
// Created by xss on 14-11-2.
// Copyright (c) 2014年 beyond. All rights reserved.
//
#import "ViewController.h"
// 1.导入库,2.添加主头文件
#i...
分类：
移动开发 时间：
2014-11-02 19:40:21
阅读次数：
309
漏洞说明：IE8是微软新推出的一款浏览器，其对CSS2.1的完整支持，HTML5的支持，内置开发工具等等。IE8在浏览器安全性上有非常大的改进，内置了一款无法卸载的Xss Filter，对非持久型跨站脚本攻击做了比较好的防护。但是80sec在测试IE8时发现，IE8的Xss Filter存在漏洞，导...
分类：
其他好文 时间：
2014-11-01 13:26:51
阅读次数：
175
前言
上篇文章中提到了 XSS 攻击，而且，也从几个方面介绍了 XSS 攻击带来的严重影响。那么，这篇文章中，主要是针对 XSS 攻击做一个基本的防御，看看可以通过几种方式来修复这个特别常见的安全漏洞。
由于公司用的是 SpringMVC，因此，这次就主要基于 SpringMVC 来解决这些漏洞。当然，其实这些解决方案都是大同小异，对于什么环境来说根本无所谓。了解了原理，什么环...
分类：
Web程序 时间：
2014-10-31 22:14:54
阅读次数：
401
