代码审计之JSP使用HTML注释

最新推荐文章于 2021-09-14 11:00:27 发布

aFa攻防实验室

最新推荐文章于 2021-09-14 11:00:27 发布

阅读量351

点赞数

本文链接：https://blog.csdn.net/fageweiketang/article/details/99977208

版权

本文探讨了在JSP文件中使用HTML注释而非JSP自身的<%-- --%>注释的问题。虽然HTML注释在页面上不可见，但其内容在源码中可被查看，可能导致信息泄露。作者建议开发者应避免在JSP中使用HTML注释以提高代码质量。

摘要由CSDN通过智能技术生成

0x00：介绍

这个问题很简单，甚至不算问题，可以把它归类到代码质量类。该问题顾名思义，即在JSP文件中使用了HTML注释。JSP的注释为<%-- --%>，HTML注释为。而JSP中除了本身注释外，HTML注释同样有效。

但也有区别之分，区别在于，JSP本身的注释内容我们右键源码是查看不到的，而JSP中使用HTML注释后，右键源码可查看注释内容。危害点和信息泄露属于一类，恶意攻击者可通过注释搜集有关程序的信息

0x01：试验

以上介绍已经说明清楚，这里我们直接贴图看对比，JSP使用HTML注释的源码及效果图如下。

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Con

最低0.47元/天解锁文章

aFa攻防实验室

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
代码审计之JSP使用HTML注释

0x00：介绍这个问题很简单，甚至不算问题，可以把它归类到代码质量类。该问题顾名思义，即在JSP文件中使用了HTML注释。JSP的注释为<%-- --%>，HTML注释为。而JSP中除了本身注释外，HTML注释同样有效。但也有区别之分，区别在于，JSP本身的注释内容我们右键源码是查看不到的，而JSP中使用HTML注释后，右键源码可查看注释内...
复制链接

扫一扫

专栏目录