XSS攻击，还是使用第三方脚本作为攻击载体的任何其他攻击，以生存于陆地(LOtL)攻击？
XSS攻击，还是使用第三方脚本作为攻击载体的任何其他攻击，以生存于陆地(LOtL)攻击？
提问于 2019-06-27 17:23:48
我是一家大公司的实习生，我的教育是安全风险分析( Security )，但不知何故，我加入了一个软件开发团队，基本上被降级为研究人员。我周围都是软件开发人员，我真的不能要求澄清安全问题，所以我来了
我正在考虑在基于浏览器的应用程序上使用带有PKCE的刷新令牌(这似乎是个糟糕的主意)。无论如何，我发现安全地执行令牌绑定的方法之一是令牌绑定，Google决定不执行令牌绑定，部分原因是令牌拦截攻击的频率较低，比如XSS和令牌泄漏给运行在浏览器中的第三方脚本。
然而，赛门铁克，在他们的ISTR 24文件，指出供应链和生存的土地攻击去年增加了78%。我试图弄清楚这是否会对单一登录和单页应用程序构成威胁，因为它们容易受到恶意脚本的攻击。如果上面提到的攻击是LOtL攻击，那么这可能意味着一个紧急的威胁，是吗？
回答 1
Security用户
发布于 2022-06-20 13:46:57
在谈到内部测试EG时，通常会提到LOtL，使用设备上可用的二进制文件来运行命令，而不是带上自己的命令。就XSS而言，可以加载易受攻击的库，但在这种情况下，考虑到没有能够检测XSS的防病毒，攻击者为什么不编写自己的脚本。无论我看到什么地方，都可以使用LOtL绕过AV，方法是使用签名和可信的二进制文件，而这种二进制文件通常用于恶意目的。
页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://security.stackexchange.com/questions/212564
复制相关文章
相似问题
腾讯云开发者
