JSONP 安全攻防技术（JSON劫持、 XSS漏洞）
关于 JSONP JSONP 全称是 JSON with Padding ，是基于 JSON 格式的为解决跨域请求资源而产生的解决方案。他实现的基本原理是利用了 HTML 里 <script></script> 元素标签，远程调用 JSON 文件来实现数据传递。如要 ...
原文：JSON劫持漏洞攻防原理及演练
注 作者发表这篇文章的时间较早，某些方法可能并不是最好的解决方案，但针对这种漏洞进行的攻击还依然可见，如早期的：QQMail邮件泄露漏洞，下面介绍的是对这种攻击原理的介绍。 不久之前，我写了一篇文章 一个微妙的JSON漏洞 ，文中讲到这个漏洞可能会导致敏感信息泄露。针对该漏洞的特点，通过覆盖JavaScript数组构造函数以窃取 暴露 JSON返回数组，而现在大多数浏览器还无法防范这种攻击。 然 ...
2014-03-05 06:28 0 8044 推荐指数：
相关推荐
JSONP 安全攻防技术（JSON劫持、 XSS漏洞）
关于 JSONP JSONP 全称是 JSON with Padding ，是基于 JSON 格式的为解决跨域请求资源而产生的解决方案。他实现的基本原理是利用了 HTML 里 <script></script> 元素标签，远程调用 JSON 文件来实现数据传递。如要 ...
DVWA 黑客攻防演练（五）文件上传漏洞 File Upload
说起文件上传漏洞 ，可谓是印象深刻。有次公司的网站突然访问不到了，同事去服务器看了一下。所有 webroot 文件夹下的所有文件都被重命名成其他文件，比如 jsp 文件变成 jsp.s ，以致于路径映射不到 jsp 文件，同事怀疑是攻击者上传了个 webshell 文件然后进行批量重命名 ...
攻防演练总结
前言 有好几个月都没有认真学习，博客也停更挺久的，中间发生了很多事，网络安全的学习确实是耽搁了。但是有得有失吧，在派出所实习也学到了很多基层办案的知识，一些人情世故，让自己更加清楚了自己喜欢的是什么 ...
攻防演练中攻击方的思考
前言 本篇文章是攻防演练中攻击方是如何打开缺口的方法的总结。(可能思路狭隘，有缺有错，师傅们多带带) Author: 0ne 本篇文章数据来源于18+省市级别HVV，90+单位失陷报告。(一部分是笔者的参与，一部分是薅的公司其他师傅的报告)思路朴素不包含钓鱼和叼炸天 ...
DVWA 黑客攻防演练（七）Weak Session IDs
用户访问服务器的时候，一般服务器都会分配一个身份证 session id 给用户，用于标识。用户拿到 session id 后就会保存到 cookies 上，之后只要拿着 cookies 再访问服务器 ...
B. 攻防演练 题解(思维+倍增)
题目链接 题目思路 对于\(l-1\)找到它\(m\)个字母最接近的位置的最远位置 然后进行倍增即可 代码 ...
单位参加攻防演练的防守思路总结
一、文档概述 将近几年参加攻防演练的经验进行提炼并进行总结分享。 攻防演练建议站在黑客的视角下，审视其攻击流程，再针对性的进行防守，防止出现木桶效应，即攻击者只会从短板攻入，但构建的防守措施却和短板无关。 外网纵向入侵流程以及备注信息如下所示： 内网横向渗透流程以及备注 ...