XSS事件（一）

【XSS事件（一）】的更多相关文章

前言最近做的一个项目因为安全审计需要,需要做安全改造.其中自然就包括XSS和CSRF漏洞安全整改.关于这两个网络安全漏洞的详细说明,可以参照我本篇博客最后的参考链接.当然,我这里并不是想写一篇安全方面的专题.我要讲的是在做了XSS漏洞修复之后引发的一系列事件. 超时本地测试的时候随便点了些页面,然后debug跟了下代码未发现任何问题.上线之后用户反馈有的页面打不开,自己去线上体验发现大部分页面正常,但是存在部分客户反馈的页面打开直接超时报错. 事件紧急处理 XSS这个漏洞修复开始…

新浪微博XSS攻击事件

http://blog.csdn.net/terryzero/article/details/6575078 6月28日20时14分左右开始,新浪微博出现了一次比较大的XSS攻击事件.大量用户自动发送诸如:“郭美美事件的一些未注意到的细节”,“建党大业中穿帮的地方”,“让女人心动的100句诗歌”,“3D肉团团高清普通话版种子”,“这是传说中的神仙眷侣啊”,“惊爆!范冰冰艳照真流出了”等等微博消息和私信,并自动关注一位名为hellosamy的用户. 事件的经过线索如下: 20:14,开始有大量…

XSS Filter Evasion Cheat Sheet 中文版

前言译者注: 翻译本文的最初原因是当我自己看到这篇文章后,觉得它是非常有价值.但是这么著名的一个备忘录却一直没有人把它翻译成中文版.很多人仅仅是简单的把文中的各种代码复制下来,然后看起来很刁的发在各种论坛上,不过你要真去认真研读这些代码,就会完全不知所云了.原因是这篇文章最精华的部分是代码的解释而非代码本身. 一方面为了自己学习,一方面也想让更多国内的xss爱好者去更方便的阅读本文.所以虽然我本身英语很烂,xss技术也很烂,但还是去翻译了这篇文章.当然这也导致最后翻译出来的文章晦涩难懂.…

新浪微博的XSS漏洞攻击过程详解

今天晚上(2011年6月28日),新浪微博出现了一次比较大的XSS攻击事件.大量用户自动发送诸如:“郭美美事件的一些未注意到的细节”,“建党大业中穿帮的地方”,“让女人心动的100句诗歌”,“3D肉团团高清普通话版种子”,“这是传说中的神仙眷侣啊”,“惊爆!范冰冰艳照真流出了”等等微博和私信,并自动关注一位名为hellosamy的用户. 事件的经过线索如下: 20:14,开始有大量带V的认证用户中招转发蠕虫 20:30,2kt.cn中的病毒页面无法访问 20:32,新浪微博中hellosam…

PHP代码审计笔记--XSS

跨站脚本攻击(Cross Site Scripting),为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS.Web程序代码中把用户提交的参数未做过滤就直接输出到页面,参数中的特殊字符打破了HTML页面的原有逻辑,黑客可以利用该漏洞执行恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的. 0x01 XSS 最简单的一个案例,输入即输出. 漏洞代码示例: <?php e…

XSS----payload，绕过，xss小游戏记录

一.XSS 1.原理:攻击者把恶意的脚本代码注入到网页中,等待其他用户浏览这些网页(或触发其他条件),从而执行其中的恶意代码. 1.xss实例代码: test.html <!DOCTYPE html> <head> <title>xss_test</title> </head> <body> <form action="xss.php" method="post"> 请输入你的名字…

xss构造--如何使用xss语句

XSS的构造 1.利用[<>]构造html/js 如[<script>alert(/xss/)</script>] 2.伪协议使用javascript:伪协议来构造xss 如[javascript:alert(/xss/);] 可在超链接中填写 <a href="javascript:alert(/xss/)">click me.</a> 也可在<img>标签中. 3.产生自己的事件在javascript中有许…

分享一个php的防火墙，拦截SQL注入和xss

一个基于php的防火墙程序,拦截sql注入和xss攻击等安装 composer require xielei/waf 使用说明 $waf = new \Xielei\Waf\Waf(); $waf->run(); 自定义拦截规则 $rules = [ '\.\./', //禁用包含 ../ 的参数 '\<\?', //禁止php脚本出现 '\s*or\s+.*=.*', //匹配' or 1=1 ,防止sql注入 'select([\s\S]*?)(from|limit)', //防止sql…

web 安全 & web 攻防: XSS（跨站脚本攻击）和 CSRF（跨站请求伪造）

web 安全 & web 攻防: XSS(跨站脚本攻击)和 CSRF(跨站请求伪造) XSS(跨站脚本攻击)和CSRF(跨站请求伪造) Cross-site Scripting (XSS) https://www.owasp.org/index.php/Cross-site_Scripting_(XSS) Cross-Site Request Forgery (CSRF) https://www.owasp.org/index.php/CSRF 1 1 XSS的原理分析与解剖: 0×01 前言:…

JNI详解---从不懂到理解

转载:https://blog.csdn.net/hui12581/article/details/44832651 Chap1:JNI完全手册... 3 Chap2:JNI-百度百科... 11 Chap 3:javah命令帮助信息... 16 Chap 4:用javah产生一个.h文件... 17 Chap5:jni教程(very very good) 19 Chap6: JNI传递返回值... 26 15.2.2.3 传递字符串... 28 15.2.2.4 传递整型数组... 29 15…