HACK学习-腾讯云开发者社区

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

HACK学习

专栏成员

557

文章

1795245

阅读量

275

订阅数

干货 | 红队和漏洞挖掘中那些关于"文档"的妙用（下）

网络安全安全 xml javascript

一个比较新的攻击点，它的攻击场景其实不算常见，如果有某些站点允许上传PDF、能在线解析PDF并且用户能够在线浏览该PDF文件，就有可能存在PDF XSS攻击，要实现这个攻击，我们需要制作一个恶意PDF文件，方法如下：

2022-05-23

1.9K0

干货 | 学习XSS从入门到熟悉

html java php javascript 网络安全

XSS，全称Cross Site Scripting，即跨站脚本攻击，是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。根据攻击代码的工作方式，XSS可以分为反射型的XSS、存储型的XSS和DOM型的XSS。

2021-06-24

4.1K0

一次信息泄露引发的越权

json 网络安全安全网站 javascript

系统开放3012、12017两个端口，前者为身份认证接口，以json形式返回token与权限参数，后者为业务系统，前端调用js-aes对json加密得到cookie

2020-07-28

9950

技巧 | XSS的常见绕过方法

javascript 网络安全 php html 编程算法

<script>alert('XSS test')</script> “<script>alert('XSS test')</script> <script>alert(document.cookie)</script> javascript:alert(document.cookie); <textarea>标签绕过：后台在处理数据的时候echo '<textarea>'.$a."</textarea>"; 代码被放在了文本框内那我们就可通过闭合标签绕过 </textarea><script>alert("xx")</script><textarea> 利用HTML标签执行XSS：【浏览器必须支持伪协议如：IE6】 <img src="javascript:alert('xss')"> <table background="javascript:alert('xss')"></table> <a href="javascript:alert('xss')">点击触发</a> 空格回车TAB绕过： <img src = "java script:alert('xss')"> 中间的空格为TAB。 <img src="ja vascript:alert('xss')"> 通过回车分隔

2019-08-07

2.2K0

XSS绕过实战练习

网络安全 javascript http

写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。

2019-08-05

3.6K0

XSS绕过姿势

javascript html css http https

XSS为跨站攻击脚本，指攻击者将js脚本(可能是其他脚本)插入到web页面，当用户浏览该网页是，代码就会执行，造成恶意攻击。

2019-08-05

3.3K0

【思路/技术】某大佬的BypassWAF新思路（附脚本）

云数据库 SQL Server sql server 安全 iis javascript

网上关于安全狗的sql绕过研究，大多数是fuzz绕过的帖子，fuzz方法常常使用注释绕过，涉及到数据库特性，而且广泛用于注释语法的星号（*）可能会被网站自带的防恶意代码模块拦截了，在实践中体验不好。太多fuzz过waf的文章，多数是使用注释绕过，在我看来，所有fuzz绕过，本质就是正则匹配逃逸。

2019-08-05

1.8K0

没有更多了

社区活动

【纪录片】中国数据库前世今生

穿越半个世纪，探寻中国数据库50年的发展历程

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态