最新消息:

xss知识

How to Xss(科普&minictf writeup)

How to Xss(科普&minictf writeup)

admin 2年前 (2015-12-22) 1888浏览 5评论

转自:http://www.math1as.com/index.php/archives/186/ 实例用minictf.sinaapp.com 自己搭建的模拟靶场里的xss题目来讲解 1.What is xss? 本名是CSS(cross sit...

跨站科普:基于dom的xss漏洞原理

跨站科普:基于dom的xss漏洞原理

admin 3年前 (2015-02-06) 1264浏览 0评论

转自:http://www.cnseay.com/2393/ 最近看到网络上很多人都在说XSS我就借着暗影这个平台发表下自己对这一块的一些认识。 其实对于XSS很多人都知道利用但是很多人都忽略了漏洞存在的原因,其实说白了基于dom中的XSS都是一...

小松鼠的黑魔法-XSS 利用

小松鼠的黑魔法-XSS 利用

admin 3年前 (2014-12-23) 968浏览 0评论

转自:http://bobao.360.cn/learning/detail/159.html PPT下载地址:http://www.jinglingshu.org/wp-content/uploads/JSEC.pdf 目前XSS漏洞普遍存在,但是...

javascript大小写特性toUpperCase()与toLowerCase()

javascript大小写特性toUpperCase()与toLowerCase()

admin 3年前 (2014-09-23) 1010浏览 0评论

ps:在toUpperCase()函数中,字符ı会转变为I,字符ſ会变为S。在toLowerCase()函数中,字符İ会转变为i,字符K会转变为k。利用这些特性可以绕过xss的某些防御。 toUpperCase(): ı ==>I ſ ...

HTML5攻防向量

HTML5攻防向量

admin 3年前 (2014-07-17) 1616浏览 0评论

From:HTML 5 Morden Day Attack And Defense Vectors Autor:Rafay Baloch 摘要 根据Powermapper出版的统计,他们分析的Web页面中超过50%使用了HTML5 DOCTYPE,...

Web 前端攻防 2014

Web 前端攻防 2014

admin 3年前 (2014-07-08) 956浏览 1评论

本文隐藏内容 登陆 后才可以浏览 转载请注明:jinglingshu的博客 » Web 前端攻防 2014...

CRLF Injection漏洞的利用与实例分析

CRLF Injection漏洞的利用与实例分析

admin 3年前 (2014-06-30) 599浏览 0评论

0x00 背景 CRLF Injection很少遇见,这次被我逮住了。我看zone中(http://zone.wooyun.org/content/13323)还有一些同学对于这个漏洞不甚了解,甚至分不清它与CSRF,我详细说一下吧。 CRLF是...

firefox小技巧 XSS截取用户明文密码

firefox小技巧 XSS截取用户明文密码

admin 3年前 (2014-06-30) 1339浏览 1评论

如果受害者使用火狐浏览器,并有使用“记住密码”的习惯。那么在这种场景下我们就可以通过一个XSS来获取目标用户的明文密码。 步骤一,先去目标站点的登录页面,找form: <form method="POST" action...

XSS 前端防火墙 —— 内联事件拦截

XSS 前端防火墙 —— 内联事件拦截

admin 3年前 (2014-06-14) 1056浏览 0评论

关于 XSS 怎样形成、如何注入、能做什么、如何防范,前人已有无数的探讨,这里就不再累述了。本文介绍的则是另一种预防思路。 几乎每篇谈论 XSS 的文章,结尾多少都会提到如何防止,然而大多万变不离其宗。要转义什么,要过滤什么,不要忘了什么之类的。尽管...

Apache httpOnly Cookie泄露分析与测试

Apache httpOnly Cookie泄露分析与测试

admin 3年前 (2014-06-11) 1426浏览 2评论

Apache HTTP Server 2.2.x多个版本没有正确严格限制HTTP请求头信息,HTTP请求头信息超过LimitRequestFieldSize长度时服务器返回 400(Bad Request)错误,并在返回信息中将出错请求头内容爆出,攻...

浅析白盒安全审计中的XSS Fliter

浅析白盒安全审计中的XSS Fliter

admin 3年前 (2014-05-25) 785浏览 0评论

自己并不擅长xss,作为抛砖引玉的一篇总结文章,分享一下自己的见解,其实写出来感觉很惶恐。都是之前看M写的一些文章学到的姿势,在这里跪谢。 我这里的绕过侧重于白盒审计,所以不用各种测试测试很久,只用根据源码中的fliter规则写出合适的exp。 后端...

XSS现代WAF规则探测及绕过技术

XSS现代WAF规则探测及绕过技术

admin 3年前 (2014-05-19) 1352浏览 2评论

初始测试   1、使用无害的payload,类似<b>,<i>,<u>观察响应,判断应用程序是否被HTML编码,是否标签被过滤,是否过滤<>等等; 2、如果过滤闭合标签,尝试无闭合标签的pa...

新手在寻找XSS时所存在的一些误区

新手在寻找XSS时所存在的一些误区

admin 3年前 (2014-05-18) 571浏览 0评论

有段时间没写东西了, 最近看到zone里出现了很多“XSS怎么绕过某某符号的帖子”,觉得很多新手在寻找XSS时走进了一些误区,比如:专门想着怎么去“绕过”。这里做个总结,希望对大家有所帮助。 1. 误区1: XSS,不是专门去“绕过”限制。 打个简单...

XSS与字符编码的那些事儿 ---科普文

XSS与字符编码的那些事儿 —科普文

admin 3年前 (2014-05-18) 722浏览 0评论

目录 0x00:基本介绍 0x01:html实体编码 0x02:新增的实体编码 实体编码变异以及浏览器的某些工作原理! 0x03:javascript编码 0x04:base64编码 0x05:闲扯   0x00基本介绍 提...

浏览器安全策略说之内容安全策略CSP

浏览器安全策略说之内容安全策略CSP

admin 3年前 (2014-05-03) 665浏览 0评论

目录 0x00         前言 0x01         CSP概念 0x02         CSP发展时间轴 0x03         CSP语法 0x04         CSP默认特性 0x05         CSP例子 0x06  ...

防御 XSS 攻击的七条原则

防御 XSS 攻击的七条原则

admin 3年前 (2014-04-26) 583浏览 0评论

原文出处: webappsecuritylab 前言 本文将会着重介绍防御XSS攻击的一些原则,需要读者对于XSS有所了解,至少知道XSS漏洞的基本原理,如果您对此不是特别清楚,请参考这两篇文章:《Stored and Reflected XSS A...

Chrome 过滤反射型 XSS的bypass

密码保护:Chrome 过滤反射型 XSS的bypass

admin 4年前 (2014-04-05) 1059浏览 1评论

一、Chrome 是怎么过滤反射型 XSS 首先要说明的是它是webkit的一个模块,而非chrome,所以Safari和360安全浏览器极速模式等webkit内核的浏览器都有XSS过滤功能. 过滤方式: 通过模糊匹配 输入参数(GET query|...