利用与修复 XSS 漏洞指南(Java 版)

作者/分享人:蓬蒿
向 Ta 提问
白帽子,信安从业者。2013-2016某杭州信息安全院安全研发部负责人,负责《网站安全监测服务平台》(Web漏洞、敏感词、挂马、暗链等)的架构、设计与实现,熟悉常见web漏洞的渗透方式与防御方式。现为某财税平台的安全团队负责人,负责业务安全开发、安全体系建设、业务风控、API Gateway等工作。熟悉常见dubbo、hsf、spring cloud等分布式服务架构设计与开发,有兴趣可带上简历。

跨站点脚本(XSS)是一个存在许多变数的复杂安全问题,重点想指出 3 点最为重要缺陷或误解:仅仅作 htmlEscape 是远远不够的;常用的开发框架不会提供专业的防御帮助;嵌套的 html、URL、JS 上下文场景让防御 XSS 难度明显难了好多。本场 Chat 我将分享:

  1. 如何挖掘/利用 XSS 漏洞?

  2. 浏览器解码顺序(十分重要):Html Entity 解码、Url 解码、JS 解码

  3. XSS 伴随两个概念: 输入函数和输出函数。一般,最优的防御方式是在输出时进行转义/编码。但如何进行转义编码呢?输出的内容在不同上下文场景下具有不同的防御方式。

    • HTML 中直接输出用户可控数据
    • HTML 标签属性注入用户可控数据
    • <script></script> 注入用户可控数据
    • URL 注入用户可控数据
    • ajax、Json 技术下注入用户可控数据
    • flash 环境下注入用户可控数据
  4. 开放笔者自研的 XSS 利用平台源码(React + Spring Boot + Mybatis)

已有22人预订
预订达标
文章出炉
交流日期
     
12月14日
12月28日
18.01.04
预订后,您将在12月28日之前获得一篇专享文章,并在18.01.04前参与一场为本文作者和读者定制的长达60分钟的专属线上交流,您还将获得一张蓬蒿的读者圈Pass
请务必添加GitChat服务号以查看活动进度及获取活动通知。
退款保证:
• 12月14日前,预订人数未达标,您将获得全额退款。
• 作者未按时完成文章,您将获得全额退款。
• 作者未按时间进行分享,您将获得全额退款。
你可能还喜欢
Service Mesh 在华为公有云的实践
田晓亮
从零开始,搭建 AI 音箱 Alexa 语音服务
Mike
Web 安全恩仇录:再谈逻辑漏洞
肖志华
如何用 Vue 实现前端权限控制(路由权限 + 视图权限 + 请求权限)
雅X共赏
智能增长:如何用大数据和人工智能实现业务体量的增长
蒋凡
有关 Mock 的是是非非
思考的犀牛
中国码农在硅谷:求职流程与经验分享
Mario
如何在十天内读完《算法导论》的基础算法部分?
一个不奇怪的微信网名
Serverless/FaaS 的现状与未来
王渊命
投资与创业:程序猿如何改变世界
丹华CFA
深入浅出 JS 异步处理技术方案
icepy
接口测试工具 Postman 使用实践
Storm
如何用 A/B 测试驱动产品增长?
陈冠诚
知名互联网公司校招 Java 开发岗面试知识点解析
我是最强青铜杨小强
如何成为一名出色的互联网产品经理
Kings
微信扫描登录