2回答
我正在探索一个具有反射XSS的网站，或者至少是一个反射向量，但问题是：
它将<、>、"转义到它们的HTML实体，而不是&、)或(。
您不在标签中，所以您必须创建自己的标签。
这不是我第一次看到这样的实现。例如，在默认情况下，Express.js具有此功能。这样的实现在XSS中安全吗？
浏览 0提问于2013-12-11得票数 6
回答已采纳
var mysql = require('mysql');
var connection = mysql.createConnection({
host : 'localhost',
user : 'meusername',
password : 'secret',
database : 'my_db'
});
connection.connect();
connection.query('SELECT 1 + 1 AS solution'
浏览 0提问于2018-03-14得票数 0
我正在测试一个没有XSS的网站。因此，我认为将XSS升级为一个有效的bug是个好主意。我需要向我的服务器发出请求，但问题是关闭标记>或正斜杠，/被转义，但其他一切都正常。事件处理程序也可以工作。
有没有办法从这些事件处理程序外部调用javascript文件，以便我可以执行脚本？
实际上，我想注入第三部分js文件，没有脚本标记或任何关闭标记。
浏览 0提问于2022-08-17得票数 0
回答已采纳
刚接触node js和express让我想知道完成任务的最好方法。在处理表单时是否有特定的约定？
浏览 3提问于2012-10-05得票数 0
回答已采纳
CookieCsrfTokenRepository.withHttpOnlyFalse()将XSRF令牌存储在cookie中，并允许前端使用JS代码提取cookie内容。前端然后将XSRF令牌附加到http报头。
但是，如果黑客注入一些恶意的JS代码来读取cookie中的XSRF令牌，并将XSRF令牌添加到伪造的http请求的http头中并发送它，该怎么办？我认为后端会认为这个请求是合法的。这不危险吗？
浏览 24提问于2022-10-29得票数 0
回答已采纳
以下内容如下：
我不太明白这里的意图(我的代码使用上述参考教程的一部分)：
// XSS protection to avoid printing the value
/* Developer's Note: Not actually sure what the purpose of this is, or how it protects. */
$id = preg_replace("/[^a-zA-Z0-9_\-]+/", "", $id);
$uname = preg_replace("/[^a-zA-Z0-9_\-]+/", &#
浏览 2提问于2015-03-22得票数 0
回答已采纳
上下文描述--我正在使用AWS扩容来部署我的静态网页。
自定义安全头是通过配置文件customHttp.yml ()在部署中应用的。
我将customHttp.yml文件包含在.nuxtignore文件中，以防止只更改自定义标题时触发webpack文件的重新生成。但是，这只在本地工作，而不是在部署过程中的服务器端。
问题描述AWS扩容在部署过程中不使用.nuxtignore文件。因此，webpack文件每次都会重新生成，从而产生一个不同的散列值，我需要在CSP头字段中包含脚本-src和style-src。但是，由于触发重新构建以应用对customHttp.yml的修改，会为jetpack文件生
浏览 9提问于2021-01-17得票数 0
回答已采纳
2回答
我正在尝试了解xss攻击，因此我知道成功的攻击会导致攻击者能够在受害者的浏览器中注入恶意js。如果我的理解是正确的，这个攻击将使他只能访问一个受威胁的域的数据。例如，如果受损域是example.com，攻击者将有权访问cookies和本地存储.example.com的
但到目前为止，注入的代码会立即执行。是否有可能攻击者注入的代码
永久监听用户HTML代码和在该单个域中的浏览活动。
在稍后时间或在满足条件时执行一些恶意代码？(例如，如果用户balance > $999假设example.com是一个网上银行应用程序？
如果这是可能的，攻击者在哪里存储js代码？我正在寻找哪些关键字，我应该
浏览 0提问于2020-09-06得票数 1
我到底用它做什么？这真的是我要防止XSS攻击所需要的全部吗？有谁能解释一下htmlspecialchars、mysql_real_escape_string、htmlpurifier和其他注射防御方式的区别吗？HTMLPurifier是否防御JS攻击？
浏览 6提问于2012-02-11得票数 3
我正在用expressJS开发一个API。这个API是一个半weblog服务，客户端可以创建、更新和删除他们的文章和内容。我对实现它的邮政和补丁路线有一秒钟的安全关注。
如果用户注入一些JS代码并将其发送到API以存储在Mongodb中，这些代码会影响我们的API吗？如何防止用户在请求中使用任何代码发布和修补请求？
我已经找到了"“中间件来净化用户输入体，它是否足以达到这个目的？
因为确保使用正确的中间件来保护这个API对我非常重要，所以我问这个问题。
浏览 3提问于2022-02-09得票数 -1
回答已采纳
我曾经用php编写我的页面，对ror来说是个新手。最近我读到了这篇文章：关于xss的保护，我很好奇，这是否只适用于像html页面上的js这样的输出，或者这个ruby特性是否也包括sql注入，<img src="evilpage.php"/>会话窃取等？
浏览 2提问于2011-02-02得票数 0
回答已采纳
4回答
在执行XSS时，我们通常将JavaScript代码放在<script>标记之间。
我注意到HTML注入非常相似，因为您正在做几乎相同的事情，但是使用不同的标记(例如<h1>、<p>、<span>等)。
结果可能会大不相同。在进行XSS攻击时，您可能会使用alert()创建通常的弹出窗口，而在执行HTML注入时，您可能会在网页上添加一些花哨的文本。
浏览 0提问于2019-03-25得票数 0
回答已采纳
需求
const stringWithBr = 'aaaaaaa<br />bbbbbbb';
ReactDOM.render(
<div>{stringWithBr}</div>,
document.getElementById("root")
);
<div id="root"></div>
<script src="https://cdnjs.cloudflare.com/ajax/libs/react/16.6.3/umd/react.producti
浏览 8提问于2022-02-21得票数 -1
3回答
我在这里有一个特别的案例，我想要一些安全建议。基本上，我的问题是“如果我控制数据库中的内容(没有用户提交数据)，返回HTML中的数据库查询结果(通过AJAX)有安全性问题吗？”
下面是正在发生的过程：
每日构建生成一个XML --如果需要，脚本会查询数据库，将结果返回到AJAX回调页面中，以查看<code>H 210</code>，并在必要时将结果返回到AJAX回调页面中，以查看<code>H 210</code><代码>G 211</code>，并将结果注入页面以查看<code>H 210</code&
浏览 4提问于2010-06-27得票数 4
回答已采纳
让我们想象一下，我们有一个网页。我们不能直接访问这个页面，所以我们不能更改源代码，但是我们需要在它的内容中添加一个js。有什么办法吗？我的意思是，例如，外部javascript或任何其他方式。
浏览 1提问于2012-05-03得票数 3
我有一个用自定义PHP构建的网站。从上周开始，当我点击任何指向我网站的链接时，一个弹出窗口就会自动打开。当我检查我的代码时，我发现我的站点标题中有一个未知的JavaScript代码，如下所示：
<script type="text/javascript">
var uid = '67478';
var wid = '124210';
</script>
<script type="text/javascript" src="http://cdn.popcash.net/pop.js"
浏览 1提问于2015-08-11得票数 0
我正在运行一个100%的NoSQL后端(MongoDB)，并使用Django进行开发。我正在构建的应用程序有很多不同的形式，出于各种原因，我试图避免使用Django.Forms，因为它们很复杂，而且看起来不太灵活。
我需要多担心XSS (据我所知，在使用MongoDB时不可能得到SQL注入)
由于我的大多数表单都是通过AJAX...is提交的，所以只需对所有传入数据使用Django +一个开源清理库()即可？
对于这个不涉及在Django表单中使用cleaned_data的问题，什么是最好的解决方案？
浏览 1提问于2011-09-28得票数 0
以字符串形式读取function js而不是它的函数。
这是完整的代码
呈现：
var deskripsi = <p>{products.deskripsi}</p>;
return:
{deskripsi}
桌面数据：
BODY<br/>
Dimensions : 156.9 x 75.8 x 7.8 mm (6.18 x 2.98 x 0.31 in)<br>
Weight : 168 g (5.93 oz) <br/>
Build : Front glass, plastic body <
浏览 2提问于2019-11-12得票数 0
回答已采纳
3回答
从一段时间以来，我一直在使用代码点火器，我刚刚在脚本中发现了一种sql -注入的可能性。
用户输入时
<script>alert('hi') </script>
在我的输入字段中，$this->security->xss_clean($field)移除赋值，但它不处理字符串的单引号。正因为如此，我获得查询错误的原因是
错误号: 37000
MicrosoftSQL ServerIncorrect语法在“hi”附近。
从删除field1 =‘远程警报(’hi‘)和field2 = 'asdasd’的帐户中选择*
文件名: D:\ht
浏览 3提问于2015-03-16得票数 0
回答已采纳
3回答
为什么这么多人对XSS使用不同的防御(攻击或漏洞)？我认为XSS是攻击，利用不足的过滤漏洞。我说的对吗？
这个问题的答案应该明确地解释什么是XSS的正确定义，并附加注释，为什么人们使用不同的定义。
浏览 0提问于2014-10-16得票数 4
回答已采纳
上下文
在我的网站上，用户可以上传他们的PDF文件，然后一些，其他用户可以查看上传的PDF文件。
我想知道这是否会带来安全问题。
上传的PDF仅仅显示在网站上感谢：<embed ... type="application/pdf"></embed>。
问题
在进行一些研究时，我无意中发现了这个要点：https://gist.github.com/andripwn/671ef1aa6c535d9168c900524bfb84e1，它表明我所做的事情可能导致XSS攻击。我尝试了这段代码，它起作用了:我的网站上显示了一个警报。
但这真的是一种安全风险吗？我没有
浏览 0提问于2022-04-12得票数 2
这是我从以下地方学习这个例子的地方：
Back
在这段代码中，我可以执行http://my_url?e=javascript:alert()
但是，如果我的代码是这样的，我能做什么：
Back
浏览 0提问于2020-12-02得票数 0
2回答
我们如何准确地区分XSS和html注入。这两者都属于代码注入和XSS，主要与Java有关，但也包括其他元素，如前面提到的。引用这一来源的话：
在页面生成过程中，应用程序不阻止数据包含由web浏览器执行的内容，例如JavaScript、HTML标记、HTML属性、鼠标事件、Flash、ActiveX等。
虽然HTML主要是与注入HTML代码相关的，如果我通过，它指出HTML注入是XSS的一种类型。引用这一来源的话：
如果这些方法提供了不受信任的输入，那么XSS的风险很高，特别是HTML 。
另一方面，许多源声称HTML是XSS的子集，例如。引用这一来源的话：
跨站点脚本，更被称
浏览 3提问于2019-07-07得票数 0
我正在使用Socket.IO，客户端看起来是这样的。
<script src="/socket.io/socket.io.js"></script>
<script>
var socket = io();
socket.emit("sendData", "hello!");
</script>
我想知道是什么阻止随机用户加入我的站点，查看代码，并使用Chrome的代码视图应用程序或诸如此类的东西向其添加以下行：
<script src="/socket.io/socke
浏览 0提问于2015-09-23得票数 3
1回答
Javascript注射和XSS有什么区别？我正在寻找一个具体的答案来指出这两者之间的主要区别。
浏览 1提问于2017-06-11得票数 0
回答已采纳
我正在使用Burp套件进行一些测试，我注意到它们包括以下字符串：
\";alert('XSS');//
作为XSS有效负载的攻击字符串。
如何使用此字符串执行XSS攻击？
浏览 0提问于2013-07-30得票数 9
回答已采纳
2回答
我正试图对我的代码进行checkmarx扫描。但是我面临这个错误:这个元素的值然后在代码中流动，没有经过适当的消毒或验证，最终在第145行的方法.then中显示给用户.这可能会导致跨站点脚本攻击。
我正在使用express js，其中有一种接收来自服务器的请求和响应的方法。
函数method1(请求，响应){
const params =request.query
}
Pleasee帮助我解决这个问题，ASAP.Have搜索了解决方案，但是只有java或.net相关的solns。我需要节点/快递js的解决方案。
提前感谢
浏览 2提问于2018-06-05得票数 2
1回答
什么是C#中最可靠或开发最完善的库，用于净化XSS的HTML数据？我不希望仅仅为了这样做而使用完整的框架。也许根本不需要图书馆？我宁愿不做我自己的regex实现，即使它的复制和粘贴regex已经被证明是有效的，当然还有一个库。
PHP有防止XSS的，它只用于输出数据，而不对存储的数据做任何事情。C#有这样的东西吗？
浏览 8提问于2017-07-30得票数 1
回答已采纳
1回答
绕过HTML编码
、、
我正在测试一个web应用程序，其中服务器接受像@#$*这样的特殊字符，但是当我插入双引号/单引号时，服务器HTML会对它进行编码。
("test">%3Cscript%3Ealert('XSS')%3C%2Fscript%3E")
是来自服务器的输出。
如何绕过这种HTML编码？
浏览 0提问于2017-01-10得票数 0
我有一个系统的上传文件功能，它是由一个反病毒，扫描上传的文件。AV检测诸如EICAR文件、msfvenom payloads...but等恶意文件，而不是包含XSS的JS文件。
我想知道这是为什么。
浏览 0提问于2020-07-06得票数 0
1回答
假设我们有一个调用外部JS文件的Javascript函数，如下所示：
(window,document,'script','www.mydomain.com/myscript.js');
我们如何使用Javascript来阻止这种情况(或者甚至以某种方式删除调用-删除URL)？
我试图找到域名'www.mydomain.com‘并将其移除，但我无法访问脚本标签中的元素。
浏览 0提问于2018-05-07得票数 0
2回答
当我执行这些有效载荷之一时，我可以看到/etc/passwd：
<iframe src=file:///etc/passwd></iframe>
<img src="xasdasdasd" onerror="document.write('<iframe src=file:///etc/passwd></iframe>')"/>
然而，这是我盲目的XSS，所以我需要将iframe的文本发回给我，所以我需要使用iframe文本并做一些类似于<script>document.lo
浏览 0提问于2020-12-30得票数 3
站点胡子-安全描述KnockoutJS中的XSS漏洞.这些漏洞来自使用eval (或某些等效的)将数据绑定属性中的文本转换为可执行脚本。大多数示例显示，如果将恶意脚本注入数据绑定属性，就可以执行恶意脚本的攻击。
示例(HTML/JavaScript/KnockoutJS)：
<script src="http://knockoutjs.com/downloads/knockout-3.0.0.debug.js"></script>
<div data-bind="click: alert(1)"></div>
&l
浏览 0提问于2014-06-17得票数 7
回答已采纳
我试图使用app在Play Store上抓取应用程序的页面，并检索一些信息来构建一个定制的RSS提要，类似于显示的。但是，当我运行任务时，输出会给出以下错误：
ERROR PuppeteerCrawler: handleRequestFunction failed, reclaiming failed request back to the list or queue {"url":"https://play.google.com/store/apps/details?id=com.google.android.apps.translate&hl=en&
浏览 8提问于2022-08-28得票数 0
在jQuery中：
$('<script>alert("foo");</script>')
// nothing shows up
// wrap it in a <p>
$('<script>alert("foo");</script>').wrap('<p>')
// oh no, an alert just popped up.
$('any string what so ever')能使JavaScript在任何
浏览 2提问于2013-02-20得票数 15
回答已采纳
3回答
昨晚，我浏览了一些值得注意的电脑攻击，发现Samy蠕虫显然影响了MySpace网络的很大一部分--根据罪犯的故事的数据，在24小时内就有超过100万用户。
在他的网站上，他提供了一个一步一步地看他是如何开发代码的，以及完整的源代码。。我昨晚花了很多时间去理清它，看看它是如何工作的。我不明白的是为什么它被列为XSS攻击？代码中的任何内容都不会改变来源或将代码从另一个网站注入到MySpace中；一切都直接发生在MySpace URL上。
有人能给我解释一下吗？(而且，如果你能解释一下function nothing() {}的目的，那将是一个很棒的奖励。)
代码的格式更正确，如下所示：
<d
浏览 0提问于2013-06-12得票数 4
回答已采纳
1回答
我正试图在页面上为XSS做一个旁路，但我做不到，我会很感激。方案如下:该页面显示以下内容：
http://www.webpage.com/jm/web.faq.Faqs.PortalFaqsController?axn=search&txtSearch=Tracking code
当尝试放置任何xss时，我出现的例子是:您的研究: ScriPtALeRti am here/scriPt有0的结果
我试图回避它，因为它显示出它识别"<>“，因此我提出以下几点：
http://www.webpage.com/jm/web.faq.Faqs.PortalFaqsContr
浏览 0提问于2017-08-22得票数 2
1回答
如何验证各种攻击的请求体？
、、、、
我正在编写一个spring- rest。
是否有更好的方法来验证请求主体中的字段，使其不包含任何可能导致OWASP定义的任何类型攻击的内容。
My Approach：当前使用javax @Pattern注释。
public class Request {
@JsonProperty(value = "name")
@Pattern(regexp = "^[a-zA-Z][a-zA-Z\\s]*[a-zA-Z]$", message = "invalid name value")
private String name;
浏览 1提问于2022-07-01得票数 -1
1回答
我目前正在开发一项服务，客户可以在web界面中输入免费文本。为了避免XSS或类似的攻击，文本应该在后端转义。Scala或Slick提供了与PHP类似的转义字符串的可能性吗？
到目前为止，我检查了StackOverflow和，找到了一个可行的解决方案，到目前为止还没有结果。有没有一种由Scala提供的本地解决方案，或者类似于PHP的
浏览 1提问于2019-05-27得票数 2
回答已采纳
我是新的代码点火器框架，我提出了一些疑问，我的问题是什么是最好的方式来保持我的查询安全。我应该使用mysql_real_escape_string还是有更好的方法。我在插入时使用了以下代码：
function createCustomer($data){
$this->firstname = $data['firstname'];
$this->lastname = $data['surname1'].' '.$data['surname2'];
$this->add
浏览 3提问于2015-05-26得票数 0
回答已采纳
1回答
我理解XSS是如何在基本概念层面上工作的。但是，我还不明白我所读到的一个基本redux漏洞()是如何发生的。这个链接是关于“每个反应开发者都应该知道的3个安全隐患”，第一个是“服务器端呈现攻击者控制的初始状态”。
上面写着：
有时，当我们呈现初始状态时，我们会危险地从JSON字符串生成一个文档变量。易受攻击的代码如下所示：
<script>window.__STATE__ = ${JSON.stringify({ data })}</script>
这是有风险的，因为JSON.stringify()将盲目地将提供给它的任何数据转换为字符串(只要它是有效的JSON)，该
浏览 4提问于2019-11-23得票数 1
回答已采纳
最近，我发现了关于XSS和web应用程序安全-> 的教程。
在开始时，有一些字符串需要注入，以测试站点是否易受xss攻击。这些字符串是：
';alert(String.fromCharCode(88,83,83))//';alert(String.fromCharCode(88,83,83))//";
alert(String.fromCharCode(88,83,83))//";alert(String.fromCharCode(88,83,83))//--
></SCRIPT>">'><SCRIPT&
浏览 1提问于2014-08-23得票数 14
我已经搜索了很多，但没有找到一个很好的解决方案来阻止我的数据库在其中插入脚本。
我已经尝试过AntiSamy，但不知道如何为它编写策略文件，我还尝试了模式匹配，它正在检测我定义的模式，但遇到了以下问题
<a href="javscript:something"></a>
我在定义的模式中有模式("javascript:")，但它与上面的字符串不匹配。因为这是我使用XSS的经验，所以我对如何为给定的字符串编写模式不是很熟悉。如果我想要匹配任何字符串中包含"javascript:“的模式，将会是什么模式，如上所述。
并告诉我是否有任
浏览 2提问于2013-06-25得票数 0
作为一个完整的开发人员，我正在为网球俱乐部开发一个编解码器框架的网络应用程序。在客户端制作html表单和编写脚本以验证用户输入时。我认为使用regexp保护我的user应用程序不受sql注入和跨站点脚本(Xss)的影响是个好主意，并验证您的用户输入数据。所以我的问题是：-我应该认为我的webapp应用程序不受sql注入、跨站点脚本和一些恶意方法的影响吗？-还是有办法安全和保护您的webapp应用程序？
浏览 0提问于2018-07-07得票数 0
回答已采纳
配置文件
$config['global_xss_filtering'] = TRUE;
下面是我想要插入到数据库中的字符串。
$str ='Provence-Alpes-Côte d'Azur, France';
我使用add_slashes函数将这个字符串转换为这个字符串：
Provence-Alpes-Côte d\'Azur, France
但是在数据库中，它总是这样存储：
'Provence-Alpes-Côte d'Azu';
这增加了'而不是\'
我怎么才能解决这个问题？
浏览 1提问于2018-02-19得票数 0
回答已采纳
我的项目是使用cakephp1.3开发的，为了测试，我使用了 (火狐)。
在中，我所理解的是，save()和find()方法将自动保护数据不受SQL注入的影响。但是在运行"SQL inject me“测试时，我总是失败。
对于示例:结果:服务器状态代码: 302找到测试值: 1‘和1=(从表名中选择计数(*))；--服务器状态代码: 302找到测试值：'；描述用户；--服务器状态代码: 302找到测试值: 1'1
我尝试了cakephp santize方法，然后我也得到了"sql注入我“的错误。
有什么帮助吗？
示例代码
$this->data['
浏览 0提问于2010-12-09得票数 5
回答已采纳
请建议一种方法，让我在vue.js的对象属性值中添加链接/锚点标记。也就是说，我希望title属性中的单词the有一个链接。找不到解决办法，因为我刚接触vue。
我的模板：
<blog-post v-bind="post"></blog-post>
Vue脚本：
post: {
id: 1,
title: 'My Journey with Vue'
}
浏览 0提问于2021-04-28得票数 0
1回答
我真的对PDO准备的声明感到困惑。我做了一切，就像它在php.net文档上说的那样。当我将JavaScript插入数据库，然后查询数据库并在页面上输出结果时，它会给出数据库上的JavaScript警报。
PDO是保护用户数据不受这种类型的攻击，还是我们必须自己进行消毒和转义，还是这里缺少了什么。
<?php
try {
$db = new PDO('mysql:host=localhost;dbname=test', "root", "");
} catch ( PDOException $e ) {
浏览 0提问于2014-10-22得票数 2
回答已采纳
长话短说，我有一个web应用程序，其中包括，让用户(谁必须登录)创建，部署和接收来自在线表单的提交，使用JSON框架进行数据存储。
在用户保存其新创建的表单时，将运行各种检查以防止SQL注入并捕获潜在的XSS漏洞。
但是，在创建实际表单时，输入到字段中的任何代码都会实时呈现在用户浏览器上。因此，如果我决定在段落字段中键入以下内容：
<a href="#" onclick="alert(1);">click me</a>
..。它将立即显示链接，并在单击时运行JS。但是，如果用户尝试保存此表单，代码将被我现有的保护措施拆分，并在已部署的表单
浏览 2提问于2020-04-29得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
