web安全策略xssppt課件(編輯修改稿)
2025-02-07 20:13 本頁面
【文章內(nèi)容簡(jiǎn)介】 Flash安全策略 ? 與同源策略類似，來自某個(gè)域的 flash應(yīng)用只可以讀取來自該域的響應(yīng)。但是，如果在一個(gè)域上的安全策略允許跟 Flash應(yīng)用程序所在域通信，則允許跨域通信。Adobe公司將此策略定義在 crossdomain文件中，錯(cuò)誤的配置文件可能導(dǎo)致 Flash突破同源策略，導(dǎo)致安全問題。如： Flash安全策略 對(duì)跨站攻擊者有幫助的類： ? Socket類： 可以創(chuàng)建連接至所有被允許的域的原始TCP套接字連接； ? ExternalInterface類：可以從 flash文件中運(yùn)行瀏覽器中的 JS； ? XML和 URLLoader：可以以用戶的名義發(fā)送 HTTP請(qǐng)求到所有被允許的域，實(shí)現(xiàn)跨域通信； XSS觸發(fā)機(jī)制 ? 直接觸發(fā) ? 利用 HTML標(biāo)簽屬性觸發(fā) ? 利用 HTM事件觸發(fā) ? 利用 CSS觸發(fā) 直接觸發(fā) ? 在 HTML頁中插入 腳本標(biāo)記。 JS嵌入到 HTML中的兩種方式： ? 1）直接嵌入 script標(biāo)簽 script language=“javascript” (“hello world!”)。 /script ? 2）在外部以 js文件的形式嵌入 script language=“javascript” src=“” /script 利用 HTML標(biāo)簽屬性觸發(fā) ? 利用 HTML標(biāo)簽中能夠訪問文件的屬性來執(zhí)行 JS代碼。JS中包含一個(gè) URL偽協(xié)議，可以使用 javascript:加上任意 JS代碼來表示一個(gè) URL，瀏覽器裝載此 URL時(shí)， JS被執(zhí)行。包括： src、 href、 dynsrc、 longdesc、 lowsrc等屬性。 img src=“javascript:alert(?XSS?)” / img dynsrc=“javascript:alert(?XSS?)” / img longdesc=“javascript:a
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1