利用与修复 XSS 漏洞指南(Java 版)

作者/分享人:蓬蒿
向 Ta 提问
白帽子,安全架构师。2013-2016某杭州信息安全院安全研发部负责人,负责《网站安全监测服务平台》(Web漏洞、敏感词、挂马、暗链等)的架构、设计与实现,熟悉常见web漏洞的渗透方式与防御方式。现为某财税平台的安全团队负责人,负责业务安全开发、安全体系建设、业务风控、API Gateway等工作。熟悉常见dubbo、hsf、spring cloud等分布式服务架构设计与开发,有兴趣可带上简历。

跨站点脚本(XSS)是一个存在许多变数的复杂安全问题,重点想指出 3 点最为重要缺陷或误解:仅仅作 htmlEscape 是远远不够的;常用的开发框架不会提供专业的防御帮助;嵌套的 html、URL、JS 上下文场景让防御 XSS 难度明显难了好多。本场 Chat 我将分享:

  1. 如何挖掘/利用 XSS 漏洞?

  2. 浏览器解码顺序(十分重要):Html Entity 解码、Url 解码、JS 解码

  3. XSS 伴随两个概念: 输入函数和输出函数。一般,最优的防御方式是在输出时进行转义/编码。但如何进行转义编码呢?输出的内容在不同上下文场景下具有不同的防御方式。

    • HTML 中直接输出用户可控数据
    • HTML 标签属性注入用户可控数据
    • <script></script> 注入用户可控数据
    • URL 注入用户可控数据
    • ajax、Json 技术下注入用户可控数据
    • flash 环境下注入用户可控数据
  4. 开放笔者自研的 XSS 利用平台源码(React + Spring Boot + Mybatis)

活动取消
已有22人预订
预订达标
文章出炉
交流日期
     
17.12.14
17.12.28
01月04日
退款保证:
• 17.12.14前,预订人数未达标,您将获得全额退款。
• 作者未按时完成文章,您将获得全额退款。
• 作者未按时间进行分享,您将获得全额退款。
你可能还喜欢
关于为何以及如何阅读源码的一点心得
追梦
从零开始,轻松打造你的聊天机器人
微软公开课
每周一个机器学习小项目001:全链接层实现与分类问题
如是
通过前端团队管理谈谈技术管理的技法与思想
常新居士
朋友圈爆款背后的计算机视觉技术与应用
AI科技大本营
为什么说 Java 程序员到了必须掌握 Spring Boot 的时候?
纯洁的微笑
量化教程 1:Python 基础
chen_h
每周一个机器学习小项目002:卷积神经网络实现与图片分类问题
如是
从架构角度来看 Java 分布式日志如何收集
张振华
领域驱动设计(DDD):如何快速入门
malaoko
Java 日志从入门到实战
JPM
分布式系统中服务降级策略探究
追梦
MyBatis 进阶:运行原理、插件、自定义类型、Cache、级联
阿福
通过源码深入理解 Spring Bean 的创建过程
零基础小白如何快速入门 Bootstrap
Nancy
微信扫描登录