JSONP 安全攻防技術（JSON劫持、 XSS漏洞）
關於 JSONP JSONP 全稱是 JSON with Padding ，是基於 JSON 格式的為解決跨域請求資源而產生的解決方案。他實現的基本原理是利用了 HTML 里 <script></script> 元素標簽，遠程調用 JSON 文件來實現數據傳遞。如要 ...
原文：JSON劫持漏洞攻防原理及演練
注 作者發表這篇文章的時間較早，某些方法可能並不是最好的解決方案，但針對這種漏洞進行的攻擊還依然可見，如早期的：QQMail郵件泄露漏洞，下面介紹的是對這種攻擊原理的介紹。 不久之前，我寫了一篇文章 一個微妙的JSON漏洞 ，文中講到這個漏洞可能會導致敏感信息泄露。針對該漏洞的特點，通過覆蓋JavaScript數組構造函數以竊取 暴露 JSON返回數組，而現在大多數瀏覽器還無法防范這種攻擊。 然 ...
2014-03-05 06:28 0 8044 推薦指數：
相關推薦
JSONP 安全攻防技術（JSON劫持、 XSS漏洞）
關於 JSONP JSONP 全稱是 JSON with Padding ，是基於 JSON 格式的為解決跨域請求資源而產生的解決方案。他實現的基本原理是利用了 HTML 里 <script></script> 元素標簽，遠程調用 JSON 文件來實現數據傳遞。如要 ...
DVWA 黑客攻防演練（五）文件上傳漏洞 File Upload
說起文件上傳漏洞 ，可謂是印象深刻。有次公司的網站突然訪問不到了，同事去服務器看了一下。所有 webroot 文件夾下的所有文件都被重命名成其他文件，比如 jsp 文件變成 jsp.s ，以致於路徑映射不到 jsp 文件，同事懷疑是攻擊者上傳了個 webshell 文件然后進行批量重命名 ...
攻防演練總結
前言 有好幾個月都沒有認真學習，博客也停更挺久的，中間發生了很多事，網絡安全的學習確實是耽擱了。但是有得有失吧，在派出所實習也學到了很多基層辦案的知識，一些人情世故，讓自己更加清楚了自己喜歡的是什么 ...
攻防演練中攻擊方的思考
前言 本篇文章是攻防演練中攻擊方是如何打開缺口的方法的總結。(可能思路狹隘，有缺有錯，師傅們多帶帶) Author: 0ne 本篇文章數據來源於18+省市級別HVV，90+單位失陷報告。(一部分是筆者的參與，一部分是薅的公司其他師傅的報告)思路朴素不包含釣魚和叼炸天 ...
DVWA 黑客攻防演練（七）Weak Session IDs
用戶訪問服務器的時候，一般服務器都會分配一個身份證 session id 給用戶，用於標識。用戶拿到 session id 后就會保存到 cookies 上，之后只要拿着 cookies 再訪問服務器 ...
B. 攻防演練 題解(思維+倍增)
題目鏈接 題目思路 對於\(l-1\)找到它\(m\)個字母最接近的位置的最遠位置 然后進行倍增即可 代碼 ...
單位參加攻防演練的防守思路總結
一、文檔概述 將近幾年參加攻防演練的經驗進行提煉並進行總結分享。 攻防演練建議站在黑客的視角下，審視其攻擊流程，再針對性的進行防守，防止出現木桶效應，即攻擊者只會從短板攻入，但構建的防守措施卻和短板無關。 外網縱向入侵流程以及備注信息如下所示： 內網橫向滲透流程以及備注 ...