摘要：
网络上曾经有过关于跨站脚本攻击与防御的文章，但是随着攻击技术的进步，以前的关于跨站脚本攻击的看法与理论已经不能满足现在的攻击与防御的需要了，而且由于这种对于跨站脚本认识上的混乱，导致现在很多的程序包括现在的动网都存在着跨站脚本过滤不严的问题，希望本文能给写程序的与研究程序的带来一点思路。 还是首先看看跨站脚本漏洞的成因，所谓跨站脚本漏洞其实就是Html的注入问题，恶意用户的输入没有经过严格的控制进入了数据库最终显示给来访的用户，导致可以在来访用户的浏览器里以浏览用户的身份执行HTml代码，数据流程如下: 恶意用户的Html输入————>web程序————>进入数据库————> 阅读全文
摘要：
如题，这个漏洞原理的确很浅，所以只能浅释了。构造这种漏洞并不需要什么技术含量，本来不想提出来的。不过CSDN上面的下载资源分已经用完了，又懒得再申请一个帐号来下载资源，碰巧发现了一个CSDN的跳转漏洞，就写出来赚点资源分吧。跳转漏洞的形成很多网站的很多功能只对注册用户或部分vip用户开发，当没有登录的用户试图使用这个功能时，网站程序会自动跳转到登录的页面，待登录验证成功后再跳转会前一步的操作。这里面如果没有对参数做签名的话就容易产生跳转漏洞了。以CSDN为例，如果要下载资源的话，随便下载一个文档什么的，如果没有登录就会看到一下提示：图1CSDN提示登录点击登录，就会跳转到如下一个url：htt 阅读全文
摘要：
AntiXSS，由微软推出的用于防止XSS攻击的一个类库，可实现输入白名单机制和输出转义 文章最后有antixx演示工程下载 antixss下载地址 http://www.microsoft.com/download/en/details.aspx?id=5242 msi安装程序，安装之后，安装目录下有以下文件 AntiXSS.chm包括类库的操作手册参数说明 HtmlSanitizationLibrary.dll包含Sanitizer类（输入白名单） AntiXSSLibrary.dll包含Antixss，Encoder类（输出转义） 使用时在工程内添加引用HtmlSanit... 阅读全文