max☜的个人资料

都看下什么叫xss吧， XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型数据来源：2007 OWASP Top 10的MITRE数据注：OWASP是世界上最知名的Web安全与数据库安全研究组织在2007年OWASP所统计的所有安全威胁中，跨站脚本攻击占到了22%，高居所有Web威胁之首。 XSS攻击的危害包括 1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号 2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力 3、盗窃企业重要的具有商业价值的资料 4、非法转账 5、强制发送电子邮件 6、网站挂马 7、控制受害者机器向其它网站发起攻击 1.2 XSS漏洞的分类 XSS漏洞按照攻击利用手法的不同，有以下三种类型：类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示： Alice给Bob发送一个恶意构造了Web的URL。 Bob点击并查看了这个URL。恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。 Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。其攻击过程如下： Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息(比如银行帐户信息)。 Charly发现Bob的站点包含反射性的XSS漏洞。 Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。 Alice在登录到Bob的站点后，浏览Charly提供的URL。嵌入到URL中的恶意脚本在Alice的浏览器中执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息(授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。其攻击过程如下： Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。 Charly注意到Bob的站点具有类型C的XSS漏洞。 Charly发布一个热点信息，吸引其它用户纷纷阅读。 Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用。

都看下什么叫xss吧，背景知识 1.1 什么是XSS攻击 XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。数据来源：2007 OWASP Top 10的MITRE数据注：OWASP是世界上最知名的Web安全与数据库安全研究组织在2007年OWASP所统计的所有安全威胁中，跨站脚本攻击占到了22%，高居所有Web威胁之首。 XSS攻击的危害包括 1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号 2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力 3、盗窃企业重要的具有商业价值的资料 4、非法转账 5、强制发送电子邮件 6、网站挂马 7、控制受害者机器向其它网站发起攻击 1.2 XSS漏洞的分类 XSS漏洞按照攻击利用手法的不同，有以下三种类型：类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示： Alice给Bob发送一个恶意构造了Web的URL。 Bob点击并查看了这个URL。恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。 Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。其攻击过程如下： Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息(比如银行帐户信息)。 Charly发现Bob的站点包含反射性的XSS漏洞。 Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。 Alice在登录到Bob的站点后，浏览Charly提供的URL。嵌入到URL中的恶意脚本在Alice的浏览器中执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息(授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。其攻击过程如下： Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。 Charly注意到Bob的站点具有类型C的XSS漏洞。 Charly发布一个热点信息，吸引其它用户纷纷阅读。 Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用。

求个透明天气的插件，好人们，发个透明天气插件给小弟吧，

131天升到11j •﹏

明天晚上开始上课了。学霸模式又要开始了，放假这么久书都不看过，

[求助] 什么听音乐的软件好的。本人喜欢听歌子，但是觉得酷狗，天天动听太常见了。所以感谢你们推荐下。

【求帮】手机QQ主题求手机主题的安装包。或者链子

【求帮】想问下。手机主题用什么软件好？比如91桌面还有什么捏？

求2000左右的三星手机游戏我比较少玩。主要是看电影。看小说多。

[求书] 护花高手校花的贴身保镖求这俩部小说。作者是王十四。。。

求求护花高手校花的贴身保镖求这俩部小说。作者是王十四。。。

皮尔沃特夫现在在线等好友双排有意者请加ID AVCC 本人白银1 现在爬坑中。

真TM的贱我关注他们，他们居然关注又取消了！

求双排。本区在皮沃特夫。现在的段位是白银1。路线:打野上单辅助。 ID:AVCC

今天中午求双排。昨晚自己双排连跪的节奏。（白银1，都是自己一步步打出来的。）本人走的路线是打野。上单辅佐。有意者请发ID 我中午加你。一起上分。

今晚伤心死了。连跪四盆排位要不挂机要不送人头。连打匹配都给坑。

为了不在影响别人，我自己开个贴。你们都说我水。以后我就在这个帖子水一把好了。

请看我昨晚的战绩 ID AVCC

现在六连胜。太嗨了。

求关注（待梦）吧关注一下（待梦）我可以去粉你或者关注你所在的吧。 @下嘉耀home

各位吧友你们好。推荐下一个吧。待梦吧。你们可以去关注一下，那个吧人气太小了。你们关注了可以@下我我可以关注了，粉你

（推荐）你们可以去关注下待梦吧？我是那个吧的小吧主，想请你们去关注一下他们的吧

求介绍小说，好看，精彩

求介绍小说好看，精彩，

求介绍小说。好看，精彩的。

求介绍小说。好看，精彩。

今晚打了3连胜的排位。明天上白1 ID AVCC 可以一起，

终于上10j了太高兴了。

终于上10j了！

终于上白2 辛苦了一晚终于上了白2

今天通宵求上白2 本人技术良好，有意识，配合容易上手。熟悉的位置是打野和上单。我的ID是AVCC。有意者今晚就双排把。

吧友们，都来帮帮我吧。送你好人卡。