怎样的PHP代码才算优秀XSS漏洞用htmlspecialchars函数填补了，从而屏蔽了非法字符。Search results for query: ', htmlspecialchars($_GET['query'], ENT_QUOTES), '.'; } ?> 能写出这样代码的人...
分类：
Web程序 时间：
2015-10-25 13:41:06
阅读次数：
214
一.CSRF是什么？CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。二.CSRF可以做什么？你这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发...
分类：
其他好文 时间：
2015-10-23 10:20:20
阅读次数：
253
首先先简述一下CSRF: CSRF是Cross Site Request Forgery的缩写（也缩写为XSRF），直译过来就是跨站请求伪造的意思，也就是在用户会话下对某个CGI做一些GET/POST的事情——这些事情用户未必知道和愿意做，你可以把它想做HTTP会话劫持。 网站是通过cookie来识...
分类：
Web程序 时间：
2015-10-22 21:14:41
阅读次数：
964
OWASP top 10的安全威胁中的CrossSite Scripting（跨站脚本攻击），允许攻击者通过浏览器往网站注入恶意脚本。这种漏洞经常出现在web应用中需要用户输入的地方，如果网站有XSS漏洞，攻击者就可以通过这种漏洞向浏览网站的用户发送恶意脚本，同时也可以利用该漏洞偷取sessioni...
分类：
其他好文 时间：
2015-10-22 19:22:55
阅读次数：
196
使用互联网的人越多，产生问题就越多，安全问题日益重要。当然对互联网安全方面的要求就会越来越高。虽然没有接触过网站安全方面统计数据，不过对于安全专家，看互联网上网站，可能会发现到处是漏洞。个人猜测存在安全漏洞的网站应该大把大把的。像CSRF、XSS攻击也会越来越被重视。相信从事安全方面工作未来待遇也会...
分类：
其他好文 时间：
2015-10-22 12:01:59
阅读次数：
141
从客户端(content=" &nb...")中检测到有潜在危险的 Request.Form 值。说明: ASP.NET 在请求中检测到包含潜在危险的数据，因为它可能包括 HTML 标记或脚本。该数据可能表示存在危及应用程序安全的尝试，如跨站点脚本攻击。如果此类型的输入适用于您的应用程序，则可包括....
分类：
其他好文 时间：
2015-10-22 10:43:02
阅读次数：
1591
理解CSRF(跨站请求伪造)原文出处Understanding CSRF对于Express团队的csrf模块和csurf模块的加密函数的用法我们经常有一些在意。 这些在意是莫须有的，因为他们不了解CSRF token是如何工作的。 下面快速过一遍！读过后还有疑问？希望告诉我们错误？请开一个issue...
分类：
其他好文 时间：
2015-10-21 18:55:16
阅读次数：
237
到目前为止，我们把能用前端脚本防御 XSS 的方案都列举了一遍。尽管看起来似乎很复杂累赘，不过那些是理论探讨而已，在实际中未必要都实现。我们的目标只是为了预警，能发现问题就行，并非要做到滴水不漏的程度。事实上，HTML5 早已制定了一套浏览器 XSS 解决方案 ——Content Security ...
分类：
其他好文 时间：
2015-10-21 17:24:59
阅读次数：
229
例如，我们的属性钩子只考虑了 setAttribute，却忽视还有类似的 setAttributeNode。尽管从来不用这方法，但并不意味人家不能使用。例如，创建元素通常都是 createElement，事实上 createElementNS 同样也可以。甚至还可以利用现成的元素 cloneNode...
分类：
其他好文 时间：
2015-10-21 17:15:47
阅读次数：
269
昨天尝试了一系列的可疑模块拦截试验，尽管最终的方案还存在着一些兼容性问题，但大体思路已经明确了：静态模块：使用 MutationObserver 扫描。动态模块：通过 API 钩子来拦截路径属性。提到钩子程序，大家会联想到传统应用程序里的 API Hook，以及各种外挂木马。当然，未必是系统函数，任...
分类：
其他好文 时间：
2015-10-21 17:10:51
阅读次数：
293
