Detector_的博客

前言以前都只是在各类文档中见到过XSS，也进行过相关的学习，但是都是一知半解，过了一段时间就忘了。前几天我们收到了了一份标题为《XX账号昵称参数中存在存储XSS漏洞》的报告文档，来源是一个叫漏洞盒子的机构，看它的官方介绍，是一个互联网安全测试众测平台。第一次在实际工作中遇到相关的问题，所以决定再系统的学习一下，此篇为学习记录。XSS概念及分类XSS 全称(Cross Sit...

前言原文链接：http://www.cnblogs.com/Detector/p/8811216.html以前都只是在各类文档中见到过XSS，也进行过相关的学习，但是都是一知半解，过了一段时间就忘了。前几天我们收到了了一份标题为《XX账号昵称参数中存在存储XSS漏洞》的报告文档，来源是一个叫漏洞盒子的机构，看它的官方介绍，是一个互联网安全测试众测平台。第一次在实际工作中遇到相关的问...

背景目前安全测试一般都存在如下问题： - 安全测试人员不懂业务，业务测试人员不懂安全，安全测试设计出现遗漏是无法避免的 - 安全测试点繁多复杂，单点分析会导致风险暴露，不安全目前的状态： - TR2阶段测试人员根据开发人员提供的story威胁分析设计文档，检查已有的削减措施是否正常实现 - 检查建议的削减措施是否合理，待版本转测试后对削减措施进行多角度测试，确保削减措施被正确实施并...