常見入侵和防御-文庫吧
2025-09-07 03:16 本頁面
【正文】 你的跨站 js代碼，這就是跨站蠕蟲。一旦有人中招，傳播速度非常快，可以用來廣告，或者，宣傳輿論，各種作用，全看怎么利用 。 愛房的個人資料修改的簽名里，可以跨站，但是只有 ie6有效，加入如下代碼，回復帖子即可 [img]javascript:alert(1)[/img] 跨站的用處 釣魚 ?在跨站的頁面加 js， js彈出一個頁面，和某網(wǎng)站做的一模一樣，比如當前社區(qū)的登錄頁。比如一個社區(qū)網(wǎng)站，你正在瀏覽某日志，突然跳出一個登錄頁，這樣你如果不注意的話，很容易就把你的帳號密碼泄漏，或者彈出一個中獎信息，各種騙就是了 跨站的用處 獲取 cookie ?比如一個網(wǎng)站有個留言板，管理員可能會經(jīng)常去查看留言，這是時候如果某篇留言加了 js代碼， js代碼把當前的管理員 cookie發(fā)送到指定地址，我時刻監(jiān)聽是否收到 cookie，在管理員還沒有退出登錄之前，我只要把我的 cookie 改成，我收到的cookie，即可成為登錄身份，達到進入網(wǎng)站的后臺，這也是入侵的常見的一種方式 我對愛房的網(wǎng)站的用戶驗證系統(tǒng)研究了一下，發(fā)現(xiàn)有點小問題，打開 cookie管理工具把 a_ajkauthinfos的值改成如下 511wkh05CFqYDxcriAB7ATTxfNu%2FpXYr557Lr5blo%2FWPgrcK%2FQ%22 就可以搖身一變成，”集團市場部“的身份。 如何防御跨站 跨站的防御 ?html_specialchars()函數(shù) ?如果允許用戶輸入 html，那么只允許一些特定的標簽，或者采取自定義標簽的模式，比如 [img][/img],其它的 html標簽用 strip_tags()函數(shù)全部過濾 ?文本編輯器，對允許的特定標簽進行重寫，比如要匹配到 img 然后將屬性重寫，其它的標簽統(tǒng)統(tǒng)過濾掉，這兒的邏輯是，“只允許某幾個標簽”，而不是，“有些標簽不行” ?如果某主頁允許用戶自定義 css，比如以前的 renren網(wǎng)的涂鴉板，一定要注意expression，可以用一個 while循環(huán)，不斷的過濾 expression，防止用戶寫成exprexpressionession的形式 萬能密碼 造成原因：后臺登錄沒有對用戶傳過來的字符進行過濾，直接代入數(shù)據(jù)庫查詢，而且，判斷用戶和密碼的 sql語句寫成如下方
教學課件相關推薦
鄂ICP備17016276號-1