上回提到，由于需要使用代理页面解决POST请求的跨域请求，需要在代理页面上执行传递的函数。所以我们做了白名单只有我们认可的回调函数才能在页面上执行，防止执行非法的JS方法，做脚本攻击。 我们所采用的方式是，把白名单以及过滤方法单独提出作为单独的文件引入页面，然后进行使用（这就为新的漏洞提供了机...
分类：
其他好文 时间：
2015-06-07 21:29:31
阅读次数：
209
第二篇 客户端脚本安全第2章 浏览器安全1. 同源策略：域划分2. 浏览器沙箱：让不可信任的代码运行在沙箱中，以进行隔离；3. 恶意网址拦截：公共组织提供黑名单；EV数字证书认证安全的网站；4. 高速发展的浏览器安全浏览器设置xss攻击原则，遵循的安全策略，但是浏览器为了用户的人性化使用，设置的匹配...
分类：
其他好文 时间：
2015-06-07 17:21:28
阅读次数：
132
xss表示Cross Site Scripting(跨站脚本攻击)，它与SQL注入攻击类似，SQL注入攻击中以SQL语句作为用户输入，从而达到查询/修改/删除数据的目的，而在xss攻击中，通过插入恶意脚本，实现对用户游览器的控制。 xss攻击可以分成两种类型： 非持久型攻击 持久型攻击 下面我们通过...
分类：
其他好文 时间：
2015-06-07 08:22:13
阅读次数：
211
《Web前端黑客技术揭秘》作者：余弦&Xisigr简述：强烈推荐！国内第一本专注前端方面的书，详细讲述了包括但不仅限于XSS、CSRF、ClickJacking等攻击类型。《白帽子讲Web安全》作者：吴翰清 Axis简述：内容比较综合且基础，较为全面并详细的讲述了作者的安全世界观，值得一读！《黑客攻...
分类：
Web程序 时间：
2015-06-03 15:38:18
阅读次数：
287
ASP.Net1.1后引入了对提交表单自动检查是否存在XSS(跨站脚本攻击)的能力。当用户试图用之类的输入影响页面返回结果的时候，ASP.Net的引擎会引发一个HttpRequestValidationExceptioin。默认情况下会返回如下文字的页面： 以下是引用片段：ServerErrorin...
分类：
其他好文 时间：
2015-06-03 11:29:25
阅读次数：
107
ASP.Net1.1后引入了对提交表单自动检查是否存在XSS(跨站脚本攻击)的能力。当用户试图用之类的输入影响页面返回结果的时候，ASP.Net的引擎会引发一个HttpRequestValidationExceptioin。默认情况下会返回如下文字的页面：以下是引用片段：ServerErrorin'...
分类：
Web程序 时间：
2015-06-01 18:45:02
阅读次数：
185
CSRF（Cross-site request forgery跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站...
分类：
Web程序 时间：
2015-05-31 12:12:12
阅读次数：
120
很多时候，在JSP中我们喜欢用EL表达式输出信息，但是最近发现这个确实存在个问题:XSS即跨域攻击。下面看个例子： 和 ${student.name}都能输出同样的结果。 但是有跨域攻击时student.name = ,${student.name}将会执行，而c:out则不会。原因：c:ou...
分类：
其他好文 时间：
2015-05-29 00:48:54
阅读次数：
3795
梦想Sky XSS跨站测试代码大全 ‘><script>alert(document.cookie)</script> =‘><script>alert(document.cookie)</script> <script>alert(document.cookie)</script> <script>alert(vulnerable)</script> %3Cscrip...
分类：
其他好文 时间：
2015-05-28 14:26:06
阅读次数：
309
利用填写的表单输入html命令，在目标服务器或者本机执行。 1）跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。 2）XSS工作原理 恶意web用户将代码植入到提供给其它.....
分类：
其他好文 时间：
2015-05-28 00:37:12
阅读次数：
223
