摘要：
作者发现博客园在首页显示摘要时未做html标签的过滤,致使摘要中的html代码可以被执行,从而可以注入任何想要被执行的js代码,作者利用这一缺陷在本文摘要中插入了一段js代码执行alert弹窗,同时增加另一片文章的访问数量,并无恶意代码,可以通过下面地址进行体验:请访问：http://www.cnblogs.com/arlenhou/ 阅读全文
摘要：
跨站请求伪造（Cross Site Request Forgery (CSRF)）也被称为：one click attack/session riding，缩写为：CSRF/XSRF，是一种挟制终端用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。攻击人员通过一些手段让终端用户点击存在攻击的链接或者页面，例如攻击人员通过xss漏洞在终端用户的页面中执行，或者将这个代码放在一个具有诱惑性的页面中，亦或者将链接直接放在论坛帖子中。 阅读全文
摘要：
XSS(Cross Site Script)跨站脚本攻击。是指攻击者向被攻击Web 页面里插入恶意html代码，当用户浏览该页之时，嵌入其中的HTML代码会被执行，从而达到攻击的特殊目的。XSS和CSRF(Cross site request forgery)合称Web 杀手组合。黑客洞穿页面逻辑，使输入的内容被按照期望内容展示出来，从而达到欺骗或攻击用户的效果。常见的xss攻击类型有存储xss攻击和反射型xss攻击。 阅读全文