第26講跨站攻擊二-在線瀏覽
2024-12-01 16:24本頁(yè)面
【正文】 set thisfile=(“testfile,8,True,0”) (“amp?！? set fs=nothing % 這就是 session欺騙。 2 XSS介紹 2） Session欺騙 14 如果你認(rèn)為這個(gè)漏洞的破壞程度僅僅這樣那就錯(cuò)了，讓我們?cè)僭囈辉囘@句 意思是在頁(yè)面中以窗口的形式顯示 URL所指向的內(nèi)容 . 2 XSS介紹 3）惡意鏈接 15 結(jié)果如圖 既然上面的利用可以讓你訪問(wèn)仸意網(wǎng)頁(yè)，那么如果攻擊者讓你瀏覽的是病毒頁(yè)面呢？可想而知，如果你的 IE存在漏洞，那是非常危險(xiǎn)的。 在一些滲透過(guò)程中，攻擊者用常構(gòu)造復(fù)雜的而隱蔽的詫句讓管理員訪問(wèn)并執(zhí)行，如備仹數(shù)據(jù)庫(kù)，備仹獲得webshell，添加管理員等等其他惡意操作 ,對(duì)服務(wù)器和用戶的安全構(gòu)成威脅 . 2 XSS介紹 4）其他利用 17 ? 問(wèn)題描述： 向?yàn)g覽器収送非法的數(shù)據(jù)會(huì)使瀏覽器執(zhí)行惡意代碼 ,通過(guò) XML編碼進(jìn)行身仹認(rèn)證也會(huì)導(dǎo)致瀏覽器執(zhí)行非法代碼。 3軟 件開(kāi)發(fā)中面臨的 XSS問(wèn)題 18 ? 収 給 web瀏覽器的惡意內(nèi)容通常以 JavaScript段的形式 出現(xiàn)，但也包括 HTML, Flash戒者其他瀏覽器能夠執(zhí)行 的代碼類型。 3 軟件開(kāi)發(fā)中面臨的 XSS問(wèn)題 ? XSS攻 擊可以采用如下形式： 19 ? 下面的 JSP 代碼段從一個(gè) HTTP request中讀雇員的 eid ， 并將它顯示出來(lái)，如果 eid包含源代碼，該源代碼就會(huì)被 瀏覽器執(zhí)行。 % ... Employee ID: %= eid % 20 ? 下面的 JSP 代碼段根據(jù)一個(gè)雇員的 ID在數(shù)據(jù)庫(kù)中查詢對(duì)應(yīng)的名字，并將其打印出來(lái) 。 3 軟 件開(kāi)發(fā)中面臨的 XSS問(wèn)題 ? 實(shí) 例 2： %... Statement st
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1