跨站点请求伪造 危害：可能会窃取或操纵客户会话和 cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务 可能原因：应用程序使用的认证方法不充分 技术分析：即使是格式正确、有效且一致的请求也可能已在用户不知情的情况下发送。因此，Web 应用程序应检查所有请求 ...
分类：
其他好文 时间：
2016-03-28 14:58:01
阅读次数：
402
1.解释HTTPS的原理和作用 原理： 作用： 2.解释CSS四种定位方式的特点和作用 3.解释XSS的原理 XSS: 跨站脚本攻击 攻击者在留言栏等地方输入一段脚本提交服务器，当用户查看留言栏时这段脚本在用户浏览器执行，完成攻击者想要完成的操作。 防御：在服务器端过滤掉这些脚本，不允许执行，改为文 ...
分类：
Web程序 时间：
2016-03-24 16:32:07
阅读次数：
184
就之前本人主持开发的金融产品所遇到的安全问题，设计部分请参见：http://www.cnblogs.com/shenliang123/p/3835072.html 这里就部分web安全防护就简单的交流： （1）跨站脚本攻击（XSS）： XSS攻击，通常指黑客通过“html注入” 篡改了网页，插入了恶 ...
分类：
Web程序 时间：
2016-03-24 14:45:15
阅读次数：
225
通过属性来防止跨站伪造请求后台的controller里面加上[ValidateAntiForgeryToken]来自为知笔记(Wiz) ...
分类：
Web程序 时间：
2016-03-24 10:22:33
阅读次数：
185
CSRF（Cross-site request forgery跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点
分类：
其他好文 时间：
2016-03-16 01:16:52
阅读次数：
219
出于防范跨站脚本攻击的同源安全策略，浏览器禁止客户端脚本（如Javascript）对不同域名的服务进行跨域调用。 同源策略（Same Origin）中的源有着严格的定义，参见RFC6454，第4章节。一般而言，Origin由{protocol, host, port}三部分组成。 可能有点意外的是，...
分类：
其他好文 时间：
2016-03-13 11:17:58
阅读次数：
184
首先在user.php文件中去除黑名单的第一行标签，在白名单中添加<script>E1：csrf攻击zoobarcsrf：cross-site request forgery 跨站伪造请求普通用户登录myzoo网站后，在未退出的状态下，浏览了attack/csrf网站该网站伪造了一份myzoo网站的
分类：
Web程序 时间：
2016-03-07 20:57:37
阅读次数：
447
jinja2是一个python的功能齐全的模板引擎，它有完整的unicode支持，一个可选的集成沙箱执行环境。它速度快，被广泛使用。使用jinja2至少需要python2.4特性沙箱中执行强大的HTML自动转义系统，保护系统免受跨站脚本攻击（xss）模板继承及时编译最优的python代码可选提前编译模板..
分类：
编程语言 时间：
2016-03-07 19:28:33
阅读次数：
193
XSS：跨站脚本（Cross-site scripting） CSRF：跨站请求伪造（Cross-site request forgery）定义： 跨网站脚本（Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击）,为了与层叠样式表（Cascading Style Sh
分类：
其他好文 时间：
2016-03-04 14:30:55
阅读次数：
193
xss表示Cross Site Scripting(跨站脚本攻击)，它与SQL注入攻击类似，SQL注入攻击中以SQL语句作为用户输入，从而达到查询/修改/删除数据的目的，而在xss攻击中，通过插入恶意脚本，实现对用户游览器的控制。 xss攻击可以分成两种类型： 非持久型攻击 持久型攻击 下面我们通过
分类：
其他好文 时间：
2016-03-03 09:05:44
阅读次数：
169
