qq_1062290728的博客

原文How to test黑盒测试黑盒测试至少包括3个阶段：寻找输入对于每个网页，测试者要确认所有web应用中用户定义的变量，以及如何输入它们。这包括隐藏的输入，比如http参数、post数据、表单的隐藏字段和预定义的值。通常，用浏览器自带的html编译器或web代理来查看隐藏变量。分析输入分析每个输入以检测潜在漏洞。为了检测xss漏洞，测试者通常使用特定构建的输入数据。这类输入一般是无害的，但能触发此漏洞。测试数据能够用web应用fuzzer产生，或手动生成。这种输入的一些例子如下：&l

原文定义基于dom的xss是指pyaload的执行结果是用户浏览器中DOM环境的修改。网页（http响应包）本身并没有修改，但由于DOM环境中发生的恶意修改，客户端中的页面代码的执行方式有所不同。举例假设以下代码用来生成一个表单，使用户选择他们偏好的语言。一个默认的语言也在请求中提供，为参数“default”。…Select your language:<select><script>document.write("<OPTION value=1>"

原文Cross Site Scripting (XSS)跨站脚本攻击概述xss是注入攻击的一种，它将恶意脚本注入到可信任的网站中。xss攻击在攻击者使用web应用发送恶意代码时（通常以浏览器脚本的形式）给其他用户时发生。产生此漏洞的地方非常多，且web应用在其未经验证的输出中使用来自用户的输入时的任何地方均会发生。攻击者可以使用xss发送恶意脚本给用户。客户端的浏览器没办法知道此脚本不受信任，并将执行此脚本。因为它认为此脚本来自来可信的资源，恶意脚本能够访问任何cookies、会话令牌或其他有关浏

概述这章节描述了如何测试客户端的url重定向，也成为开放重定向（open redirection）。这是一种输入检测的漏洞，当应用接收用户控制的输入（指向某个外部链接）时可能存在此漏洞。这种漏洞能够被用来进行钓鱼攻击或重定向受害者到攻击页面。这个漏洞在应用接收含有url的不可信输入且不进行过滤时发生。这个url可以使用户重定向到其他页面。这个漏洞可能使攻击者发起钓鱼攻击且偷取用户凭据。由于重定向来自合法的网站，网络钓鱼攻击可能看起来更加可信。这里是一个钓鱼攻击url的例子：http://www.t

原文概述web应用经常与内部或外部资源进行交互。虽然你可能期望只有预期的资源才能处理你发送的数据，然而处理不当的数据可能产生注入攻击。其中一种注入攻击是ssrf。一个成功的ssrf攻击能够授予攻击者访问内部服务、访问内部文件、执行受限操作的权限。在一些情况下，它甚至导致RCE。测试目标确认ssrf注入点测试注入点是否可利用评估漏洞的严重程度如何测试当测试ssrf时，你试图使目标服务器无意中加载或报错可能是恶意的内容。最常见的测试是本地和远程文件包含。ssrf还有另一方面：一种信任关系。通

原文概述本章演示实际XML注入例子。首先，将定义XML样式的通信，并且解释其工作原理。然后尝试插入XML字符的发现方法。当第一步完成，测试中将拥有许多关于XML结构的信息，因此将有可能插入XML数据和标签。测试目的识别XML注入点评估可以利用的攻击类型及其严重性如何测试让我们假设有个网站使用XML样式的通信进行用户注册。这通过在xmlDb中创建和添加新的< user>实现。让我们假设xmlDB文件如下：<?xml version="1.0" encoding="ISO

原文介绍XML外部实体攻击对解析XML输入的网站的一种攻击。这种攻击在含外部实体引用的XML被配置不当的XML解析器执行时发生。这种攻击i可能引起数据泄露、服务拒绝、服务端请求伪造、解析器所在的主机的端口扫描等其他系统影响。XML 1.0标准定义了XML文件的结构。标准定义了一个概念，实体，它时某些类型的存储单元。这里有一些不同类型的实体：外部通用实体/参数解析实体，经常被简称为外部实体，它们能够访问本地或远程内容，通过声明的系统标识符。系统标识符被假设为URI，能够被XML处理器访问。XML处理器用

原文基于令牌的措施这种防御方式是防御CSRF方式中最受欢迎和推荐的。它能够通过有状态（同步令牌模式）或无状态（基于加密或哈希的令牌模式）实现。使用内置或现有的CSRF实现。同步令牌防御已经内置到许多框架中。**强烈建议，在尝试构建自定义的令牌生成系统前，先研究所使用的框架是否默认有实现CSRF保护的选项。**例如，.NET有内置保护，可以为易受CSRF影响的资源添加令牌。在使用这些内置的CSRF保护前，你负责正确的配置（比如密钥管理和令牌管理）。将CSRF防御添加到现有应用中单外部组件也非常建议。

1

原文（1.概述 2.防御修复 3.检测）CSRF（Cross Site Request Forgery，跨站请求伪造）概述csrf是一种迫使用户在已授权登录的网站执行非用户自身希望的操作的攻击。在社工帮助下（例如通过邮件或聊天发送链接），攻击者能七篇网站的用户去执行攻击者所要的操作。如果受害者是一个普通用户，成功的CSRF攻击能执行状态修改请求，例如转移资金或改变邮件地址等。如果受害者是管理员，CSRF能够危害整个web应用。介绍CSRF是一种欺骗用户发送而已请求的攻击。它继承受害者的身份和权限