恶意网站针对用户可能登陆的某个站点实施跨站点攻击，在用户不知情情况下，让用户做了某些非本意的操作。一般情况，服务端对每个请求除了验证session，还应对除特殊几个请求外的其它请求都验证请求中唯一标识。一般使用服务端返回的jsessionId放在请求中。这个jsessionId存在于客户端浏览器的内...
分类：
Web程序 时间：
2014-11-21 23:09:09
阅读次数：
270
序
说到 XSS 攻击，前边已经有两篇文章在讲这个事了，这次又拿出来说，主要是针对最近工作中的一些新的问题。那么之前是怎么解决这个问题的呢？为什么又要换解决方案？下面就详细的跟大家分享一下。
旧方案
公司的测试团队发现这个问题之后，就要求尽快的解决，在网上查了很多相关的资料，也翻阅了基本安全方面的书，基于 XSS 的攻击原理，自己写了一个 Filter，并在该...
分类：
Web程序 时间：
2014-11-20 17:07:52
阅读次数：
140
一、背景知识1、什么是XSS攻击？XSS攻击：跨站脚本攻击（Cross Site Scripting），为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。跨站脚本攻击，是Web程序中常见的漏洞，XSS属于被动式且用于客户端的攻击方式，...
分类：
其他好文 时间：
2014-11-20 11:41:27
阅读次数：
203
==Ph4nt0m Security Team== Issue 0x03, Phile #0x05 of 0x07|=---------------------------------------------------------------------------=||=-----------....
分类：
其他好文 时间：
2014-11-20 06:52:18
阅读次数：
204
XSS的高级利用部分总结 -蠕虫,HTTP-only,AJAX本地文件操作,镜象网页本帖最后由 racle 于 2009-5-30 09:19 编辑 XSS的高级利用总结 -蠕虫,HTTPONLY,AJAX本地文件操作,镜象网页By racle@tian6.com http://bbs.tian6....
分类：
其他好文 时间：
2014-11-20 06:52:15
阅读次数：
317
http://hi.baidu.com/cr3xdker/blog/item/02f94520c1e39c56ad34dee6.html1、onmouseenter：当鼠标进入选区执行代码2、onmouseleave：当鼠标离开选区执行代码3、onmousewheel：当鼠标在选区滚轮时执行代码4、...
分类：
其他好文 时间：
2014-11-20 06:50:25
阅读次数：
416
主要是因为web程序对输入输出过滤不足导致的。攻击者利用xss漏洞把恶意脚本代码(HTML+Javascript)注入到网页中，当用户浏览这些网页时，就会执行恶意代码，对受害者进行攻击，例如盗取Cookie,会话劫持，钓鱼欺骗等各种攻击。2、xss的危害Cookie盗取只要有记住密码功能，盗取coo...
分类：
其他好文 时间：
2014-11-19 00:26:35
阅读次数：
304
该文章是本人两天的学习笔记，共享出来，跟大家交流。知识比较零散，但是对有一定 JS 基础的人来说，每个小知识都有助于开阔你的 Hack 视角。首先声明，本文只是 XSS 攻击的冰山一角，读者自行深入研究。本文地址：http://www.cnblogs.com/hustskyking/p/xss-sn...
分类：
其他好文 时间：
2014-11-19 00:24:46
阅读次数：
353
跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。
分类：
其他好文 时间：
2014-11-18 23:17:15
阅读次数：
174
http://blog.csdn.net/terryzero/article/details/65750786月28日20时14分左右开始，新浪微博出现了一次比较大的XSS攻击事件。大量用户自动发送诸如：“郭美美事件的一些未注意到的细节”，“建 党大业中穿帮的地方”，“让女人心动的100句诗歌”，“...
分类：
其他好文 时间：
2014-11-15 18:37:06
阅读次数：
394
