来自CVSS v2 完整指南：我知道跨站点脚本可以分为三种主要类型:反射XSS、存储XSS和基于DOM的XSS。然而，为什么XSS的得分部分影响到完整性，而不是对完整性没有影响？如果XSS漏洞是反射<
浏览 0提问于2016-10-09得票数 3
我非常了解典型的XSS漏洞，比如反射和存储的XSS。我读过很多关于基于DOM和DOM的XSS漏洞的文章。我推断，服务器端没有什么可以阻止基于DOM的XSS，因为攻击向量从未传递到服务器端。
浏览 0提问于2014-09-22得票数 1
1回答
这可以防止XSS攻击，因为Javascript.无法访问cookie。使用;Secure;HttpOnly设置JWT令牌将防止XSS攻击。提前谢谢。
浏览 0提问于2018-11-29得票数 1
它发现了一个XSS漏洞。扫描步骤: Injected item: POST: localeCountry <--这是一个枚举值，不能更改为XSS字符串并存储在服务器中。注入值：>'>alert("XSS警告！“)检测值：>'>alert("XSS警告！“)在攻击响应页面中检测到，该页面在链接内找到。我认为这是一个无效的漏洞，因为注入的项目不会持久，也不会影响其他用户。最好避开所有参数，但我想知道这个<
浏览 2提问于2012-10-19得票数 0
回答已采纳
我试图检测输入字段中存在盲/存储XSS漏洞。在注入有效负载的“A”页上，该漏洞不会触发。
这很可能是因为易受攻击的字段将值存储在其他地方，这只会触发另一个页面上的有效负载，例如页面'B‘。我如何有效地测试这样的XSS漏洞是否确实存在？
浏览 0提问于2021-12-01得票数 0
3回答
清理XSS中的Markdown
、、、、
我需要在数据库中存储的标记文本，而不是HTML转换的版本，因为用户是允许编辑他们的帖子。我在上读到了Markdown的XSS漏洞。我找到的唯一解决方案是在我的脚本提供的每个输出之前使用HTML_purifier。我认为这会减慢我的脚本，我想象输出20个帖子，并为每个帖子运行HTML_purifier……
因此，我试图从XSS漏洞中找到一种清理输入而不是输出的解决方案。HTML时，运行HTML_purifier
浏览 2提问于2013-02-17得票数 3
回答已采纳
1回答
此表单非常直接，易受反射XSS的影响。像"><script>alert(1);</script><div这样简单的攻击向量是足够的PoC。现在，在传统的web应用程序中，我理解了潜在的反映XSS (如上面所述)的XSS可能产生的影响，以及有十几种开发技术，包括BeeF等。具体来说，由于表单是在应用程序的web视图中呈现的，并且考虑到应用程序没有其他应用程序可以通过意图等与其交互的开放端，攻击者可能利用这种反射XSS进行攻击的可能方式是什么。但是从安全的角度来看，我当然
浏览 0提问于2015-05-15得票数 5
1回答
作为一名安全工程师，我想知道web应用程序第三方JS依赖漏洞管理的通用方法。我们有很多应用程序依赖Jquery等，在常规的漏洞扫描中，旧版本的JS库(其中很多版本都有XSS )报告为漏洞。如果没有真正的阅读和理解代码，你就不能说你的应用程序是否会受到那些XSS的影响，这对一个安全工程师来说也不是一件容易的事情。我们有这样的情况:我们将问题归类为漏洞，而不提供实际的XSS攻击。然而，由于努力，开发团队并不乐意对其进行升级。他们建议通过编辑图书馆来解决问题
浏览 0提问于2021-03-01得票数 2
我的应用程序包含一个安全漏洞(XSS跨站点脚本)。持久化(或存储)在文本字段中输入值框架？支柱1.3<html:text name="grupo" property="description" size="50" alt="De
浏览 0提问于2018-05-31得票数 1
web应用程序易受存储的XSS漏洞的攻击，但只有管理员用户有权访问控制台并可以插入数据或XSS负载。除此之外，应用程序不容易受到CSRF和访问控制攻击。
那么它是一个有效的安全漏洞吗？
浏览 3提问于2018-10-11得票数 2
2回答
我在body参数中注入了XSS脚本，API用'400 Bad请求‘错误进行响应，但是响应显示了我在请求有效负载中注入的XSS脚本。如果响应是'200 OK‘，如果响应主体显示XSS脚本，那么我会将其总结为一个漏洞，因为XSS脚本将在web浏览器中打开相应页面时被存储和响应(如果web应用程序的安全性也很弱)。但是，在这种情况下，响应是“400不好的请求”，所以我还需要考虑这个漏洞吗？
浏览 0提问于2020-03-25得票数 4
1回答
我试图解决一个安全漏洞，以防止xss。
应该在存储到数据库之前对所有用户输入(如<>标记)进行编码，还是应该将原始输入存储到数据库中，并仅在从数据库中检索数据并在HTML上显示时才对其进行编码？
浏览 4提问于2017-05-03得票数 1
回答已采纳
我当时正在查看这里，并且我了解反射- does (客户端XSS)并不通过服务器端脚本，而是反射XSS (服务器端XSS)，但它们都不存储在数据库中。但是我对一个注入能做什么而另一个不能做什么感到困惑，XSS通过服务器端脚本与被注入客户端页面(脚本仍然在客户端运行)的危险是什么？此外，是否存在持久的DOM XSS(客户端XSS)注入，如果是这样的话？
浏览 0提问于2015-08-20得票数 5
回答已采纳
3回答
在DVWA中，我试图理解与通常的alert('XSS');场景不同的攻击方法。var sub = document.getElementsByTagName('input')[1].click();
这段代码基本上将页面切换到存储的xss页面并输入一些值，然后提交
浏览 0提问于2016-09-02得票数 3
1回答
我们有一个asp.net核心2.1 web应用程序接口，其中我们有一个端点来发布供应商与样本有效负载下面存储在PostgreSQL DB中。目前，我们已经发现了一个XSS漏洞，如果我们传递一个我们想要限制和清理有效负载的脚本。 我在互联网上搜索，但没有找到一个工作的解决方案，为.NET核心，这有助于防止XSS攻击。有没有人可以提供一个示例代码块来解决这个问题？ 提前谢谢你。[{ "Name": &q
浏览 10提问于2020-01-16得票数 0
他们只是抱怨响应的内容类型，而不是错误HTML页面上检索的内容类型，后者只包含一些泛型文本，比如“发生错误”。他们说，响应的内容类型应该始终与您在请求中发送的内容类型相同，因为它可以消除XSS等安全漏洞。就我个人而言，这对我来说没有任何意义，我真的不明白这怎么可能是一个安全缺陷。这能被认为是内容欺骗吗，而且，这也能平息安全漏洞吗？
浏览 0提问于2019-01-29得票数 3
回答已采纳
我正在阅读“Web应用程序黑客手册”，它讨论了一阶XSS和二阶XSS之间的区别。它提到反射XSS如何利用查询字符串params的不完全或不存在的散列来执行任意脚本到用户的DOM中，而不将任何恶意代码持久化到应用程序的数据库，以及二阶XSS实际上如何持久化该恶意代码，并在稍后某个时候在用户的我的问题涉及到作者对二级XSS的定义(如果你手头有一份副本的话，请看第438页)。书中的说明指出：
针对存储的XSS漏洞的攻击通常至少涉及对应用程序的两个请求。首先
浏览 1提问于2017-06-05得票数 1
回答已采纳
2回答
我已经使用JSTL标签修复了Fortify在我的JSP上报告的XSS漏洞问题，但在使用之后，虽然XSS漏洞问题得到了解决，但它导致了一个新的问题，即“XSS:糟糕的验证”。为了解决这个糟糕的验证问题，我还可以实现哪些其他可能的解决方案？
Fortify建议HTML/ XML/ URL编码不是一个好的做法，因为代码将在运行时被解码，这仍然可能导致XSS攻击。我一直在寻找可能的解决方案，但还没有找到一
浏览 2提问于2013-02-15得票数 0
默认情况下，OAuth库将所有令牌存储在会话存储中。我编写了一个自定义存储，以忽略刷新令牌，而不是将它们存储在会话存储中。假设存储的XSS漏洞几乎是不可能的情况，这就是上面的安全解决<
浏览 3提问于2022-04-29得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
腾讯会议
云直播
对象存储活动推荐
腾讯云开发者
