源代码： 可以看到是用htmlspecialchars 进行处理，但是他默认不对单引号进行处理的。 所有 输入： ' onclick='alert(111)' 点击触发xss 输入：' onmouseover='alert(1) 触发xss ...
分类：
Web程序 时间：
2019-08-18 19:37:14
阅读次数：
105
打开漏洞页面，随便输入点东西，发现没有啥东西。 但是我们发现我们输入的11，在面的herf 中 看到这儿就很简单了，我们只需要闭合一下，就可以构造出我们的payload了。 '><img src="#" onmouseover="alert('xss')"> ...
分类：
其他好文 时间：
2019-08-18 19:33:04
阅读次数：
85
首先打开漏洞网页，发现输入的长度好像被限制了， 我们便F12查看源代码，发现长度被限制成了20，而且还是前端验证的，我们可以直接修改为100 在我们的输入框中，输入 <script>alert(3)</script>， 便看到可以弹窗了 ...
分类：
其他好文 时间：
2019-08-18 17:25:49
阅读次数：
77
Django的安全攻击 一 、xss 二 、危害 三 、原理 四 、防护 五、在django中我们应该如何防护？ ...
分类：
其他好文 时间：
2019-08-18 15:39:55
阅读次数：
73
由于执行的xss攻击请求他多了，初步估计要执行83次，而且还要执行3篇，如果手工一个一个去执行，说出去，我还配叫自动化大师吗； 有鉴于此，边打算自己编写一个脚本进行批量执行； 而短脚本的编写，非shell莫属，想到做到； 首先附上xss跨站攻击的请求报文： 看到没有如果一个一个执行，我的天，这要猴年 ...
分类：
系统相关 时间：
2019-08-17 22:15:11
阅读次数：
156
昨日内容： ORM高级查询 XSS -跨脚本(js)攻击 原因： 服务端太相信客户端传过来的参数 防止： 对客户端传过来的数据统一进行转译 django中自带转译 ? 消除django中的转译 {{name|safe}} safe为相信 今日内容： 一对一 多对多 表中数据类型 -mysql -dj ...
分类：
其他好文 时间：
2019-08-16 01:08:27
阅读次数：
195
<?php if (!function_exists('remove_xss')) { //使用htmlpurifier防范xss攻击 function remove_xss($string){ //composer安装的，不需要此步骤。相对index.php入口文件，引入HTMLPurifier.... ...
分类：
其他好文 时间：
2019-08-13 00:02:30
阅读次数：
102
1、什么是CSRF攻击？ CSRF是跨站请求伪造（Cross-site request forgery）的英文缩写\ Laravel框架中避免CSRF攻击很简单：Laravel自动为每个用户Session生成了一个CSRF Token，该Token可用于验证登录用户和发起请求者是否是同一人，如果不是 ...
分类：
其他好文 时间：
2019-08-12 00:51:08
阅读次数：
100
一、什么是CSRF？ CSRF是Cross Site Request Forgery的缩写，翻译过来就是跨站请求伪造。那么什么是跨站请求伪造呢？让我一个词一个词的解释： 1、跨站：顾名思义，就是从一个网站到另一个网站。 2、请求：即HTTP请求。 3、伪造：在这里可以理解为仿造、伪装。 综合起来的意 ...
分类：
其他好文 时间：
2019-08-10 12:12:32
阅读次数：
94
用途：防止sql注入，本地包含，部分溢出，fuzzing测试，xss,×××F等web***防止svn/备份之类文件泄漏防止ApacheBench之类压力测试工具的***屏蔽常见的扫描***工具，扫描器屏蔽异常的网络请求屏蔽图片附件类目录php执行权限防止webshell上传1.下载并解压luajit2.0.5wgethttp://luajit.org/download/LuaJIT-2.0.5.tar
分类：
其他好文 时间：
2019-08-10 09:52:11
阅读次数：
153
