利用与修复 XSS 漏洞指南(Java 版)

作者/分享人:蓬蒿
向 Ta 提问
白帽子,信安从业者。2013-2016某杭州信息安全院安全研发部负责人,负责《网站安全监测服务平台》(Web漏洞、敏感词、挂马、暗链等)的架构、设计与实现,熟悉常见web漏洞的渗透方式与防御方式。现为某财税平台的安全团队负责人,负责业务安全开发、安全体系建设、业务风控、API Gateway等工作。熟悉常见dubbo、hsf、spring cloud等分布式服务架构设计与开发,有兴趣可带上简历。

跨站点脚本(XSS)是一个存在许多变数的复杂安全问题,重点想指出 3 点最为重要缺陷或误解:仅仅作 htmlEscape 是远远不够的;常用的开发框架不会提供专业的防御帮助;嵌套的 html、URL、JS 上下文场景让防御 XSS 难度明显难了好多。本场 Chat 我将分享:

  1. 如何挖掘/利用 XSS 漏洞?

  2. 浏览器解码顺序(十分重要):Html Entity 解码、Url 解码、JS 解码

  3. XSS 伴随两个概念: 输入函数和输出函数。一般,最优的防御方式是在输出时进行转义/编码。但如何进行转义编码呢?输出的内容在不同上下文场景下具有不同的防御方式。

    • HTML 中直接输出用户可控数据
    • HTML 标签属性注入用户可控数据
    • <script></script> 注入用户可控数据
    • URL 注入用户可控数据
    • ajax、Json 技术下注入用户可控数据
    • flash 环境下注入用户可控数据
  4. 开放笔者自研的 XSS 利用平台源码(React + Spring Boot + Mybatis)

活动取消
已有22人预订
预订达标
文章出炉
交流日期
     
17.12.14
17.12.28
01月04日
退款保证:
• 17.12.14前,预订人数未达标,您将获得全额退款。
• 作者未按时完成文章,您将获得全额退款。
• 作者未按时间进行分享,您将获得全额退款。
你可能还喜欢
支付平台架构设计评审核心要点与最佳实践
李艳鹏
前端大师炼成记:初中级前端成长指南
差不多先生
软件架构发展历程分享
kimmking
从微信支付宝支付接口设计谈 API 接口产品的设计经验和最佳实践
李艳鹏
微服务开发中的数据构架设计
陈伟荣
如何高效开启你的顾问人生模式
加兴
死磕 Elasticsearch 方法论:普通程序员高效精进的 10 大狠招!
铭毅天下
Spring Boot 2.0 的配置详解(图文教程)
泥瓦匠 @ bysocket.com
从点线面体谈开发到架构师的转型
李艳鹏
如何从0开始敏捷转型
Adele
互联网服务端接口自动化测试
SoftwareLuke
通用架构师应该如何把控迁移技术方案
李艳鹏
程序员与养生
墨雪卿
如何系统学习知识图谱
胖子哥
SpringBoot 核心模块原理剖析
加多
微信扫描登录