小迪安全37WEB 攻防-通用漏洞&XSS 跨站&权限维持&钓鱼捆绑&浏览器漏洞

最新推荐文章于 2025-06-04 15:11:19 发布

yiqiqukanhaiba

最新推荐文章于 2025-06-04 15:11:19 发布

阅读量1k

点赞数 20

文章标签：安全 xss 前端

本文链接：https://blog.youkuaiyun.com/weixin_73760178/article/details/136611920

版权

#XSS跨站系列内容:

1. XSS跨站-原理&分类&手法

XSS跨站-探针&利用&审计
XSS跨站另类攻击手法利用

XSS跨站-防御修复&绕过策略

#知识点：

1、XSS 跨站-另类攻击手法分类

2、XSS 跨站-权限维持&钓鱼&浏览器等

1、原理

指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响

的 HTML 代码，从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵

害的一种攻击方式。通过在用户端注入恶意的可执行脚本，若服务器对用户的输入不进行

处理或处理不严，则浏览器就会直接执行用户注入的脚本。

-数据交互的地方

get、post、headers

反馈与浏览

富文本编辑器

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

yiqiqukanhaiba

关注关注

20
点赞
踩
18

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

[网络安全自学篇] 二十五.Web安全学习路线及木马、病毒和防御初探

杨秀璋的专栏

11-12

3万+

这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。前文分享了分享机器学习在安全领域的应用，并复现一个基于机器学习（逻辑回归）的恶意请求识别。这篇文章简单叙述了Web安全学习路线，并实现了最简单的木马和病毒代码，希望对读者有所帮助。

[网络安全自学篇] 七十九.Windows PE病毒原理、分类及感染方式详解

热门推荐

杨秀璋的专栏

05-20

1万+

这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了XSS跨站脚本攻击案例，主要内容包括XSS原理、不同类型的XSS、XSS靶场9道题目、如何防御XSS。这篇文章将介绍Windows PE病毒，包括PE病毒原理、分类及感染方式详解，并通过案例进行介绍。基础性文章，希望对您有所帮助~

参与评论您还未登录，请先登录后发表或查看评论

36、WEB攻防——通用漏洞&XSS跨站&MXSS&UXSS&FlashXSS&PDFXSS

qq_55202378的博客

01-26

998

UTF-7 XSSMHTML XSSCSS XSS已经过时，基本上不会出现。

day36WEB攻防-通用漏洞&XSS 跨站&MXSS&UXSS&FlashXSS&PDFXSS

m0_69583059的博客

01-31

723

本章知识点不是很重要，涉及到的漏洞也不是常见的，所以没有过多的阐述。是利用浏览器或者浏览器扩展漏洞来制造产生。并执行代码的一种攻击类型。MXSS突变型XSS漏洞。、通过文件上传获取直链。、直链地址访问后被触发。

day35WEB 攻防-通用漏洞&XSS 跨站&反射&存储&DOM&Beef-XSS

m0_69583059的博客

01-29

1325

本章知识点：1XSS跨站原理攻击分类等2XSS跨站反射型存储型&DOM型等3XSS跨站攻击手法劫持盗取凭据等4XSS跨站攻击项目&XSS平台&Beef-XSS。

37、WEB攻防——通用漏洞&XSS跨站&权限维持&捆绑钓鱼&浏览器漏洞

qq_55202378的博客

01-27

840

要想获取有效的cookie，需要：1、网站本身采用cookie进行验证；2、网站未做http-only等的防御手段。

XSS一-WEB攻防-XSS跨站&反射型&存储型&DOM型&标签闭合&输入输出&JS代码解析

zyw268的博客

03-23

351

XSS跨站-分类测试-反射&存储&DOM。XSS跨站-输入输出-原理&分类&闭合。

day37WEB攻防-通用漏洞&XSS跨站&权限维持&钓鱼捆绑&浏览器漏洞

m0_69583059的博客

02-01

2271

XSS-后台植入 Cookie&表单劫持（权限维持）什么是权限维持，就是虽然我们获取到了网站权限，但是并不能保证一直拥有权限，因为可能某一天对方的杀毒软件将我们植入的后门代码给删除了，那么就不能保证权限的持续，所以要获取管理员后台的登入账号密码，虽然可以通过获取Cookie值进行登入，但是如果在有防护的情况下获取到的Cookie值可能是错误的，这样就无法登入后台。当然我们在拥有权限的基础上，可以直接进入通过数据库查看账号密码，但是如果密码加密了呢，而且还是无法解密呢，虽然数据库里面也能获取到一些数据，但

WEB攻防-通用漏洞&XSS跨站-表单劫持&钓鱼捆绑

m0_65336233的博客

10-13

1335

WEB攻防-通用漏洞&XSS跨站-表单劫持&钓鱼捆绑

WEB攻防-通用漏洞_XSS跨站_权限维持_捆绑钓鱼_浏览器漏洞

weixin_45534587的博客

01-14

1060

构造代码：把代码放在自己网站上，比如，我的博客上（或者本地网站上）的test.html，只要对方访问192.168.199.1:8081/web/test.html，在beef就可以看到对方上线，② 模仿flash下载官方地址（https://www.flash.cn/ ）做出本地页面：http://127.0.0.1:8081/ （构造一个相似域名的网址，更逼真）

Web安全简介

qq_36309066的博客

01-13

914

Web安全，也可以叫做Web应用安全。互联网本来是安全的，自从有了研究安全的人之后，互联网就变的不安全了。 Web安全的本质是信任问题由于信任，正常处理用户恶意的输入导致问题的产生非预期的输入安全是木桶原理，短的那块板决定的木桶世纪能装多少水，同样的，假设把99%的问题都处理了，那么1%的余留会是造成安全问题的那个短板 xss 跨站脚本攻击(Cross Si

Redis最佳实践——安全与稳定性保障之连接池管理详解

专注分享技术、实用优质教程、资源

06-01

1557

Redis最佳实践——安全与稳定性保障之连接池管理详解

第二章 2.3 数据存储安全风险之数据存储风险防范

weixin_43172311的博客

06-04

837

大家好，今天我想和大家聊聊一个既专业又与我们生活息息相关的话题——数据安全风险防控。无论你是普通用户还是技术从业者，了解这些内容都能帮助你在数字世界中更好地保护自己和他人。

企业私有化部署DeepSeek实战指南：从硬件选型到安全运维——基于国产大模型的安全可控落地实践

最新发布

MILI_NFT的博客

06-04

893

随着《生成式AI服务管理暂行办法》实施（2025年4月起），私有化部署将成为企业智能化转型的合规基线，建议优先采用模块化架构为未来升级预留空间。：金融风控（需实时数据处理）、医疗诊断（敏感病历保护）、政务系统（合规性要求）等高隐私需求领域。注：显存容量需≥模型参数×1.5（FP16精度），例如67B模型需≥100GB显存池。模型权重文件（67B约90GB）+ 日志缓存空间（建议预留1TB SSD）启用4-bit量化（降低50%显存）：load_in_4bit=True。

Neo4j 安全深度解析：原理、技术与最佳实践

weixin_30777913的博客

06-04

431

其有效性依赖于对纵深防御策略的严格执行与持续维护。通过深入理解其安全模型，严格遵循最佳实践，并保持警惕性监控，可以显著提升图数据资产的安全性，为关键业务应用构建坚实可信的基础。定期查阅官方安全文档是保持配置符合最新安全标准的关键。在当今数据驱动的世界中，图数据库承载着关键的关系信息，其安全性至关重要。Neo4j 提供了一套多层次、纵深防御的安全体系。Neo4j 的安全体系提供了从认证授权到数据加密、审计追溯的完整解决方案。

C++高级编程深度指南：内存管理、安全函数、递归、错误处理、命令行参数解析、可变参数应用与未定义行为规避

Rachelhi的博客

05-30

1240

1. 可变参数 1.1 可变参数的定义与原理 1.2 使用可变参数的场景 1.3 可变参数的实现方式 1.3.1 省略号方式 1.3.2 模板参数包方式 2.2 动态内存分配函数 2.3 内存泄漏与内存溢出 3.1 错误处理机制概述 3.2 异常处理机制示例代码异常处理的优点异常处理的缺点 3.3 错误处理的实践使用异常处理机制使用智能指针管理资源使用RAII管理资源使用断言进行调试避免使用全局变量使用日志记录错误信息 4.1 递归的定义与原理示例代码：计算阶乘示例代码：计算斐波那契数

Spring Security安全实践指南

静水深流

06-01

1106

本文探讨了应用程序安全性的核心价值和Spring Security的架构基础。安全性需要根据数据敏感度分级实施，漏洞会导致多维损失（经济、信誉、法律）。通过典型案例分析，论证了防御投入远低于漏洞修复成本。Spring Security采用过滤器链和认证管理器架构，支持密码编码器演进和最小权限原则，提供表单登录与HTTP Basic等认证方式。系统设计应遵循"默认拒绝"原则，通过分层防护保障关键系统安全。

历史记录隐藏的安全风险

毒果的博客

06-03

694

历史记录功能广泛存在于浏览器、办公软件、移动应用等各类平台。它通过记录用户的搜索内容、操作痕迹、访问路径等信息，为用户提供便捷的操作体验和个性化服务。然而，这种看似便利的功能背后，却隐藏着巨大的安全隐患。从个人隐私泄露到企业敏感数据暴露，历史记录引发的安全事件屡见不鲜。本文将结合实际项目中遇到的问题、多个典型案例，深入探讨历史记录隐藏的安全问题、应对实践、项目复盘经验以及关键技术要点。

变焦位移计：机器视觉如何克服人工疲劳与主观影响？精准对结构安全实时监测

weixin_43963569的博客

05-30

1280

摘要：变焦视觉位移监测相比传统人工监测具有显著优势。在精度上，自动化监测可达0.01mm，而人工监测受主观影响，精度仅几毫米。自动化可实现24小时高频监测，人工则耗时且滞后。自动化数据实时上传，真实可靠；人工数据易受人为干预。虽然自动化前期投入高，但长期成本效益更优。自动化监测在连续性、数据呈现等方面也优于人工监测。尽管人工监测在特定场景仍有价值，但自动化监测已成为行业发展趋势。