原理：恶意Web用户将代码植入到提供给其它用户使用的页面中，如果程序没有经过过滤或者过滤敏感字符不严密就直接输出或者写入数据库。合法用户在访问这些页面的时候，程序将数据库里面的信息输出，这些恶意代码就会被执行。 大概流程是，建立一个用于发表评论的网页，然后XSS攻击者通过XSS漏洞进行攻击获取其他访 ...
分类：
其他好文 时间：
2017-04-03 15:26:57
阅读次数：
301
1.PHP 函数：阻止 SQL 注入 SQL 注入或者 SQLi 常见的攻击网站的手段，使用下面的代码可以帮助你防止 对用户输入的数据做转义： 输出做stripslashes,htmlspecialchars是在输出HTML时防御XSS攻击的,区别于上面说的防御SQL注入 2.用php实例进行mys ...
分类：
Web程序 时间：
2017-03-09 00:31:01
阅读次数：
156
前言 平时很少关注安全这块的技术，曾经也买过一本《Web前端黑客技术揭秘》但至今还没翻过，尴尬。今天的早读文章由腾讯优测@小吉带来的分享。 正文从这开始~ 最近深入了解了一下XSS攻击。以前总浮浅的认为XSS防御仅仅只是输入过滤可能造成的XSS而已。然而这池子水深的很呐。 XSS的类型 总体来说，X ...
分类：
其他好文 时间：
2017-03-04 17:36:30
阅读次数：
875
最近测试XSS攻击修复时，找到的一个比较不错的文章，分享给大家。 Update20151202： 感谢大家的关注和回答，目前我从各种方式了解到的防御方法，整理如下： PHP直接输出html的，可以采用以下的方法进行过滤： 1 1.htmlspecialchars函数 2 3 2.htmlentiti ...
分类：
Web程序 时间：
2017-03-01 23:17:24
阅读次数：
533
转自：http://www.cnblogs.com/lovesong/p/5199623.html XSS（cross-site scripting跨域脚本攻击）攻击是最常见的Web攻击，其重点是“跨域”和“客户端执行”。有人将XSS攻击分为三种，分别是： 1. Reflected XSS（基于反射 ...
分类：
其他好文 时间：
2017-02-24 16:22:35
阅读次数：
209
转自：XSS攻击的解决方法 在我上一篇《前端安全之XSS攻击》文中，并没有把XSS攻击的解决办法说完整，而XSS的攻击又那么五花八门，有没有一招“独孤九剑”能够抗衡，毕竟那么多情况场景，开发人员无法一一照顾过来，而今天通过阅读《白帽子讲Web安全》这本书，对应对方式有了更好的总结，分为两类，一是服务 ...
分类：
其他好文 时间：
2017-02-24 16:06:53
阅读次数：
207
sql 注入攻击 用户的输入，合法性判断 提交表单 xss 攻击 盗取用户各类账号 盗取重要私聊 非法转账 控制受害机器想其他网站发起攻击 取出用户的cookie 对输入做校验 对 < > , ; 等字符做过滤 尽量采用post方式提交数据 ...
分类：
Web程序 时间：
2017-02-23 13:30:07
阅读次数：
183
innerHTML不但可以修改DOM节点的文本内容，还可以直接通过HTML片段修改DOM节点内部的子树 （如果，写入的字符串是通过网络拿到，要注意对字符编码来避免XSS攻击） innerText和textContent可以自动对字符串进行HTML编码，保证无法设置任何HTML标签 两者区别，inne ...
分类：
Web程序 时间：
2017-02-14 20:16:35
阅读次数：
416
TRACE和TRACK是用来调试web服务器连接的HTTP方式。支持该方式的服务器存在跨站脚本漏洞，通常在描述各种浏览器缺陷的时候，把"Cross-Site-Tracing"简称为XST。攻击者可以利用此漏洞欺骗合法用户并得到他们的私人信息。禁用trace可以使用rewrite功能来实现RewriteEngineOnRewrit..
分类：
Web程序 时间：
2017-02-08 00:06:31
阅读次数：
242
1、新标签的XSS H5中定义类很多新标签、新事件可能带来XSS(为研究XSS攻击H5的变化成立项目 HTML 5 Security Cheatsheet) eg: 1) <video src=" " onloadedmetadate="alter(XSS)"> 远程加载视频 2) <audio> ...
分类：
Web程序 时间：
2017-01-19 01:30:46
阅读次数：
186
