讀書筆記-xss構造技巧-2015-11-30-白帽子講web安全
一；xss攻擊
0.xss攻擊分為儲存型和反射型，儲存型xss繞過頁面的驗證，進行筴資料儲存，在使用者正常訪問url時會觸發，反射型xss會修改一個正常的url,y一般要求攻擊者將xssurl傳送給使用者點選，
1.一般是在頁面上找漏洞，比如說說頁面的輸入框，可以跳過構造js語句，關掉原始碼的成對元素，自己構造一段js程式碼在頁面上執行
eg：在輸入框內輸入“ ><script>alert(111111)</scriprt>”;在輸入內容有字數的限制情況下：“onclick=alert(11)”
eg:location.hash;根據HTTP協議，location.hash裡面的內容不會在http包裡傳送，不會被web日誌記錄，所以隱藏筴黑客的真實意圖。
2.在輸入框裡輸入註釋符，使頁面元素失效，再填充入自己的內容
3，使用<base>標籤，<base>標籤，作用在於定義頁面上所有使用相對路徑的hosting地址，使用base標籤 載入遠端資源。
4.img標籤可以跨域請求資源，利用img標籤，非同步載入一個檔案
相關推薦
讀書筆記-xss構造技巧-2015-11-30-白帽子講web安全
一；xss攻擊 0.xss攻擊分為儲存型和反射型，儲存型xss繞過頁面的驗證，進行筴資料儲存，在使用者正常訪問url時會觸發，反射型xss會修改一個正常的url,y一般要求攻擊者將xssurl傳送給使用者點選， 1.一般是在頁面上找漏洞，比如
白帽子講Web安全--讀書筆記
分支 返回 上下文 webshell 隱患 gin csrf 世界 尋找 在安全圈子裏，素有“白帽”、“黑帽”一說。 黑帽子是指那些造成破壞的黑客，而白帽子則是研究安全，但不造成破壞的黑客。 白帽子 均以建設更安全的互聯網為己任。 不想拿到“root”的黑客，不是好
白帽子講web安全筆記——XSS（一）
XSS 跨站指令碼攻擊 三種類型：1.反射型：簡單的把使用者輸入的資料“反射”給瀏覽器 2.儲存型：把使用者輸入的資料“儲存”在伺服器端 具有很強的穩定性 3.DOM Based：修改頁面的DOM節點形成的 XSS攻擊： Cookie劫持 先載入一個遠端
讀書筆記-白帽子講web安全
xss： 1，反射型xss 把使用者輸入資料“反射”給瀏覽器 2，儲存型xss 把使用者資料“儲存”在伺服器端 3，基於DOM的xss 效果上也是反射型， <script> function test() { var str = docum
白帽子講web安全 ——讀書筆記：術語和理論
最近心血來潮，對安全這些略感興趣，就買了本 白帽子講web安全 看看 ，這裡做個讀書筆記吧！方便啥時候忘了再看一下。 exploit——漏洞利用程式碼 Script kids ——指令碼小子，利用exploit到處破壞的傢伙，對漏洞及程式設計原理沒有多深的理解。 0day—
白帽子講web安全 讀書筆記
第三章：xss 分類：反射型、儲存型、Dom型 效果和反射型類似 但是是通過修改dom節點形成的 防禦： 設定cookie的Httponly屬性，瀏覽器會禁用此cookie 輸入檢查、輸出檢查、htmlencode 第四章：csrf 本質：重要的引數被攻擊者發現
讀書筆記-白帽子講web安全-注入攻擊
1，sql注入 原本sql語句為： select * from ordersTables where shipcity = 'Beijing' 插入惡意語句： select * from ordersTables where shipcity = 'Beijing'；
[筆記]《白帽子講Web安全》- Web框架安全
產生 response pro 直接 返回 攻擊 指定 his 數據 一、MVC框架安全 從數據的流入來看，用戶提交的數據先後流經了View層、Controller、Model層，數據流出則反過來。在設計安全方案時，要牢牢把握住數據這個關鍵因素。
《白帽子講web安全》第三 四章筆記
劫持 進行 cross 返回 AS 都是 存儲 http請求 用戶登錄 XSS(Cross Site Script)跨站腳本攻擊 縮寫CSS，但是為了和層疊樣式表(CSS)有所區別，所以在安全領域叫XSS XSS攻擊，指通過"HTML註入"篡改了網頁，插入了惡意的腳
《白帽子講Web安全》學習筆記
一、為何要了解Web安全 最近加入新公司後，公司的官網突然被Google標記為了不安全的詐騙網站，一時間我們資訊科技部門成為了眾矢之的，雖然老官網並不是我們開發的（因為開發老官網的前輩們全都跑路了）。我們花了很多時間做Web安全掃描以及修復，在檢查和修復過程中，發現老系統的程式碼的不可維護性（再次說明整
《白帽子講web安全》學習筆記（2）
第2章 瀏覽器安全 1、同源策略（Same Origin Policy）。瀏覽器最核心最基本的安全功能。Web是構建在同源策略的基礎之上的，瀏覽器只是針對同源策略的一種實現。瀏覽器的同源策略，限制了來自不同源的“document”或指令碼，對當前“document”讀取或設
《白帽子講Web安全》3-跨站指令碼攻擊（XSS）
第3章 跨站指令碼攻擊(XSS) 3.1 XSS簡介 Cross Site Script，跨站指令碼攻擊，簡稱XSS。 XSS攻擊，通常是指黑客通過“HTML注入”篡改了網頁，插入了惡意的指令碼，從而在客使用者瀏覽網頁時，控制使用者瀏覽器的一種攻擊。
【白帽子講web安全】關於XSS,CSRF,SQL注入
1.XSS 分類： 1.反射型：給使用者傳送頁面或者連結，讓使用者點選來進行攻擊 2.儲存型：把攻擊存放在服務端，可能造成傳播（比如部落格系統，每個訪問該頁面的人都有可能被攻擊），主動性更強 3.DOM型：本質上是反射型，但是是通過使用者點
讀《白帽子講web安全》 ——筆記
第二章 瀏覽器安全 什麼是同源策略？ 同源策略，它是由Netscape提出的一個著名的安全策略。 現在所有支援JavaScript 的瀏覽器都會dao使用這個策略。 所謂同源是指，域名，協議，埠相同。 當一個瀏覽器的兩個tab頁中分別開啟來 百度和谷歌的頁面。 當瀏覽器的百度tab頁執行一個指令碼的時候會檢查
讀書筆記----10日摘抄整理(11)
很多 想要 切割 nbsp 學習 最想 成績 痛苦 孤獨 心思細膩思維縝密為人處世幾乎沒有什麽紕漏 要麽謀生，要麽謀愛 萬寶全書缺個角 不怕慢就怕站 結繩記事 傾囊相授 別再職場上對人推心置腹 淚目 略過不談 讀的囫圇吞棗一知半解 怦然心動 雜沓腳步聲 聞聲不見形影 陽光很
學習筆記（七）：樸素貝葉斯在Web安全中的六個應用
一、檢測Web異常操作 1.資料蒐集：一樣 2.特徵化 使用詞集模型，統計全部操作命令，去重後形
Java 線程第三版 第五章 極簡同步技巧 讀書筆記
prev ear ont java else 停止 第三版 不同的 結合 一、能避免同步嗎？ 取得鎖會由於下面原因導致成本非常高： 取得由競爭的鎖須要在虛擬機的層面上執行很多其它的程序代碼。 要取得有競爭鎖的線程總是必須等到鎖被釋放後。 1. 寄
effective C++ 讀書筆記 條款11
col tor 變量 pre amp 副本 swap 基本 目標 條款11： 在operator= 中處理“自我賦值” 在實現operator=時考慮自我賦值是必要的就像 x=y 。我們不知道變量x與y代表的值是否為同一個值（把x和y說成是一個指針更恰當一點）。例如
EffectiveJava讀書筆記——考慮用靜態工廠方法代替構造器（一）
無法 父類 應該 樹結構 對象 如何 log 筆記 工廠類 參考網址：http://blog.csdn.net/mingyunduoshou/article/details/6149758 http:[email protect
<C和指針---讀書筆記11>
con 針對 返回 正常的 字節 查找 spa 讀書 mage 對於構成字符串的，string.h封裝了許多現成的函數以供使用。 字符串，不論是常量字符串還是借用數組尾綴’\0’。 這個strings.h裏面的函數都是針對的字符串。 即以’\0’做為截至。 如果你不幸的對