P

clickjacking漏洞的挖掘与利用

px1624 / 2014-11-10

1 说起clickjacking,很多人其实都不知道是干嘛的。比起XSS来说,clickjacking显得比较神秘,乌云漏洞库里面的相关的漏洞也不到10条而已。

2 瞌睡龙之前发过一篇clickjacking的技术文档,主要是介绍clickjacking出现的原因,以及防御的方法。我这里主要是介绍,怎么寻找clickjacking以及怎么去利用。

E

SSLStrip 的未来 —— HTTPS 前端劫持

EtherDream / 2014-10-17

在之前介绍的流量劫持文章里,曾提到一种『HTTPS 向下降级』的方案 —— 将页面中的 HTTPS 超链接全都替换成 HTTP 版本,让用户始终以明文的形式进行通信。

看到这,也许大家都会想到一个经典的中间人攻击工具 —— SSLStrip,通过它确实能实现这个效果。

不过今天讲解的,则是完全不同的思路,一种更有效、更先进的解决方案 —— HTTPS 前端劫持。

E

Web前端攻防

EtherDream / 2014-07-31

外链会产生站外请求,因此可以被利用实施 CSRF 攻击。

目前国内有大量路由器存在 CSRF 漏洞,其中相当部分用户使用默认的管理账号。通过外链图片,即可发起对路由器 DNS 配置的修改,这将成为国内互联网最大的安全隐患。

_

上传文件的陷阱

_fd / 2014-05-22

现在很多网站都允许用户上传文件,但他们都没意识到让用户(或攻击者)上传文件(甚至合法文件)的陷阱。

什么是合法文件?

通常,判断文件是否合法会透过两个参数:文件后缀(File extension)及Content-Type。

一种自动化检测 Flash 中 XSS 方法的探讨

路人甲 / 2014-05-16

对于如何检测 Flash 中的 XSS,每个人都有自己的方法,无论是使用成型的自动化工具(比如 swfscan)还是自己开发自动化工具(先反编译,再对 actionscript 代码审计)还是直接人工对代码进行审计。都能够检测到 Flash 中存在的 XSS 漏洞。但是这些方法会存在一些问题,

最新webqq密码的加密方式分析过程

路人甲 / 2014-03-27

授人以鱼,不如授人以渔,今天就分享一个 分析qq加密的过程。

工具:谷歌浏览器自带的的调试工具(在浏览器中按F12呼出)

以下是全过程,历时4个的小时。

0

XSS与字符编码的那些事儿 ---科普文

0x_Jin / 2013-10-21

0x00:基本介绍
0x01:html实体编码
0x02:新增的实体编码 实体编码变异以及浏览器的某些工作原理!
0x03:javascript编码
0x04:base64编码
0x05:闲扯

N

详解XMLHttpRequest的跨域资源共享

nyannyannyan / 2013-07-09

Browser Security-同源策略、伪URL的域这篇文章中提到了浏览器的同源策略,其中提到了XMLHttpRequest严格遵守同源策略,非同源不可请求。但是,在实践当中,经常会出现需要跨域请求资源的情况,比较典型的例如某个子域名向负责进行用户验证的子域名请求用户信息等应用。

V

CSRF简单介绍及利用方法

VIP / 2013-07-02

CSRF(Cross-site request forgery)跨站请求伪造,由于目标站无token/referer限制,导致攻击者可以用户的身份完成操作达到各种目的。根据HTTP请求方式,CSRF利用方式可分为两种。

Flash安全的一些总结

只抽红梅 / 2013-06-27

flash如何跨域通信,全靠crossdomain.xml这个文件。这个文件配置在服务端,一般为根目录下,限制了flash是否可以跨域获取数据以及允许从什么地方跨域获取数据。

比如下面的列子: 1、www.a.com域下不存在crossdomain.xml文件,则不允许除了www.a.com域之外的其他任何域下的flash进行跨域请求。

Browser Security-同源策略、伪URL的域

瞌睡龙 / 2013-06-19

同源策略(Same Origin policy,SOP),也称为单源策略(Single Origin policy),它是一种用于Web浏览器编程语言(如JavaScript和Ajax)的安全措施,以保护信息的保密性和完整性。

同源策略能阻止网站脚本访问其他站点使用的脚本,同时也阻止它与其他站点脚本交互。

Browser Security-css、javascript

瞌睡龙 / 2013-06-19

调用方式有三种:

1 <style>
2 通过<link rel=stylesheet>或者使用style参数
3 XML包括XHTML可以通过<?xml-stylesheet href=...?>

Browser Security-超文本标记语言(HTML)

瞌睡龙 / 2013-06-19

1 &符号不应该出现在HTML的大部分节点中
2 尖括号<>是不应该出现在标签内的除非为引号引用
3 在text节点里面<左尖括号有很大的危害
4 引号在标签内可能有危害具体危害取决于存在的位置但是在text节点是没有危害的

Browser Security-基本概念

瞌睡龙 / 2013-06-19

URL格式:

scheme://[login[:password]@](host_name|host_address)[:port][/hierarchical/path/to/resource[?search_string][#fragment_id]]
投稿

随机分类

XSS 文章:34 篇
逆向安全 文章:70 篇
IoT安全 文章:29 篇
神器分享 文章:71 篇
浏览器安全 文章:36 篇

扫码关注公众号

WeChat Offical Account QRCode

最新评论

Yukong

🐮皮

H

HHHeey

好的,谢谢师傅的解答

Article_kelp

a类中的变量secret_class_var = "secret"是在merge

H

HHHeey

secret_var = 1 def test(): pass

H

hgsmonkey

tql!!!

RSS订阅