那些年我们一起学XSS - 3. 输出在HTML属性里的情况

和前面的不一样的时,有时候,输出会出现在HTML标签的属性之中。例如: input value="输出" 、 img onload="...[输出]..." ,再比如 body style="...[输出]..." .. 这个时候怎么办呢?1. 大网站一般不是吃素的。前面讲到的基本情况,一般都很少遇到了。2. 这个时候我们可以把目光发展一下,找一找在【输出】出现在HTML属性里的情况。3. 最为典

- 阅读全文 -

那些年我们一起学XSS - 2. 输出在<script></script>之间的情况

接着上面一个教程,我们继续。这个例子属于第一例的特殊情况,当然也有特殊解法。也属于非常常见的一种情况。1. 我们找到这么一个点,也是输入和输出都未过滤的一个点。相比教程第一例,其特殊之处在于,是输出在了 script[输出]/script之间。http://activity.soso.com/common/setParentsInfo.php?callback=aaaaaaaaa如下图:callb

- 阅读全文 -

那些年我们一起学XSS - 1. 什么都没过滤的入门情况

只是些反射型XSS,单单发出来没有什么意义。只是些反射型XSS,腾讯怎么修都修不完。只是些反射型XSS,我想让它变得更有价值。只是些反射型XSS,我拿他们做成了教程。1. XSS的存在,一定是伴随着输入,与输出2个概念的。2. 要想过滤掉XSS,你可以在输入层面过滤,也可以在输出层面过滤。3. 如果输入和输出都没过滤。 那么漏洞将是显而易见的。4. 作为第一个最基础的例子, 我们拿出的是一个什么都

- 阅读全文 -

 最新文章

 最近回复

  • helloqueen: 谢谢分享
  • helloqueen: 谢谢分享
  • 二分: 不错
  • kuye: 已经更新,请去帖子或github上面查看
  • wangyuzhen: 支付宝双十二今天那个能用?我输入次数就结束了
  • 狐狸: 厉害
  • kuye: 图片链接已更换。验证码是问哪个的?
  • ASC_8384: [图片](https://web.archive.org/web...
  • kuye: 宝塔不会自动升级的,老版本只能网络搜下了。
  • 心灵博客: 宝塔会自动升级么? 怎么可以安装老版本?

 分类

 标签

 其它