- 综合排序
- 最热优先
- 最新优先
- 来自专栏渗透测试专栏
渗透测试web安全综述(3)——常见Web安全漏洞
常见Web安全漏洞 信息泄露概念 信息泄露是由于Web服务器或应用程序没有正确处理一些特殊请求，泄露Web服务器的一些敏感信息，如用户名、密码、源代码、服务器信息、配置信息等。 /web.xml泄露 web-inf是Java Web应用的安全目录，web.xml中有文件的映射关系 CVS泄露 http://url/CVS/Root 返回根信息 http: //url/CVS/Entries 返回所有文件的结构 bk clone http://url/name dir 取回源码 目录遍历概念 目录遍历(目录穿越)是一个Web安全漏洞，攻击者可以利用该漏洞读取运行应用程序的服务器上的任意文件 类型(常见) IIS ApacheTomcat Nginx WebLogic Jboss 本文部分图片摘自深信服安全服务认证工程师课程课件中，为方便个人学习使用，勿作商用！！！！ 任何未经授权使用本文档中技术信息的行为都是严格禁止的，并可能违反《中华人民共和国网络安全法》及相关法律法规。使用者应当合法合规地运用所学知识，不得用于非法入侵、破坏信息系统等恶意活动。
1.5K20编辑于 2024-09-27 - 来自专栏IMWeb前端团队
从零开始学web安全（3）
这篇文章就是要学习一下xss各种编码的知识，内容可能比较枯燥～～ 最近sng要求大家做安全考试，跟xss相关有两个个非常经典的题目： ? ? 题目1答案是b，题目2答案是c和d。 html实体编码，十进制、十六进制ASCII码或unicode字符编码，样式为“&#数值;”,例如“<”可以编码为<和<。 test3我们把%编码成了%，发现还是可以顺利跳转，这又是为啥？原因也很简单，这个a标签被插入到body之后，就变成了属性里有html字符实体的场景。 test4我们在test3的基础上把第一个&通过js unicode编码编程\u0026，发现居然还可以跳转！ 好吧，这篇就先到这里了～～ 下个月继续安全方面的知识分享。大家清明快乐。。。
1K100发布于 2017-12-29 - 来自专栏IMWeb前端团队
从零开始学web安全（3）
这篇文章就是要学习一下xss各种编码的知识，内容可能比较枯燥～～ 最近sng要求大家做安全考试，跟xss相关有两个个非常经典的题目： ? ? 题目1答案是b，题目2答案是c和d。 html实体编码，十进制、十六进制ASCII码或unicode字符编码，样式为“&#数值;”,例如“<”可以编码为<和<。 %2F%2Fwww.baidu.com\'">test3'; // test4 // url编码 -> html test3我们把%编码成了%，发现还是可以顺利跳转，这又是为啥？原因也很简单，这个a标签被插入到body之后，就变成了属性里有html字符实体的场景。 test4我们在test3的基础上把第一个&通过js unicode编码编程\u0026，发现居然还可以跳转！
67620发布于 2019-12-04 - 来自专栏红日安全
Web安全Day3 - CSRF实战攻防
本文由红日安全成员： Once 编写，如有不当，还望斧正。 大家好，我们是红日安全-Web安全攻防小组。 此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。 2、验证Referer 3、关键请求使用验证码功能 1.2 CSRF漏洞利用 1.2.1 利用思路 寻找增删改的地方，构造HTML，修改HTML表单中某些参数，使用浏览器打开该HTML，点击提交表单后查看响应结果 1.2.2 CSRF漏洞利用实例之DVWA 1.2.2.1 安装步骤 下载地址：https://codeload.github.com/ethicalhack3r/DVWA/zip/master 漏洞环境 u=pmasa-2017-9 [红日安全]Web安全Day4 - SSRF实战攻防 因特殊原因无法在平台发送，请大家转到以下链接进行学习 https://xz.aliyun.com/t/6235 banner.jpg
1.3K31发布于 2020-02-19 - 来自专栏区块链开发
Web3 开发的安全性
Web3 开发的安全性至关重要，因为区块链和去中心化应用（DApps）涉及资产管理和用户隐私，一旦出现漏洞，可能导致严重的经济损失和信任危机。以下是 Web3 开发中的主要安全挑战及解决方案。 代码安全：避免使用 eval 或动态执行用户输入。使用 Content Security Policy (CSP) 防止 XSS 攻击。 3.区块链网络安全主要风险：51% 攻击：攻击者控制大部分算力，篡改交易记录。网络分叉：区块链分叉导致交易回滚或资产丢失。节点安全：恶意节点提供虚假数据或拒绝服务。 最佳实践：代码审计：开发完成后进行全面的安全审计。持续监控：使用监控工具（如 Tenderly）实时跟踪合约状态。社区参与：公开代码，接受社区审查和反馈。安全教育：提高团队和用户的安全意识。 总结Web3 开发的安全性涉及智能合约、前端、区块链网络、用户隐私、存储和治理等多个方面。通过采用安全工具、遵循最佳实践和持续监控，可以有效降低风险，确保 DApp 的安全性和可靠性。
58500编辑于 2025-01-28 - 来自专栏全栈程序员必看
web安全概述_网络安全和web安全
id=1721098433786504052&wfr=spider&for=pc WEB 常见的脚本语言类型有哪些？ asp，php，aspx，jsp，javaweb，pl，py，cgi 等 WEB 的组成架构模型？ windows linux 中间件（搭建平台）：apache iis tomcat nginx 等 数据库：access mysql mssql oracle sybase db2 postsql 等 WEB 相关安全漏洞 WEB 源码类对应漏洞 SQL 注入，上传，XSS，代码执行，变量覆盖，逻辑漏洞，反序列化等 WEB 中间件对应漏洞，WEB 数据库对应漏洞，WEB 系统层对应漏洞，其他第三方对应漏洞 后门在安全测试中的实际意义？ 关于后门需要了解那些？（玩法，免杀） 版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
1.4K30编辑于 2022-11-05 - 来自专栏AI SPPECH
015_Web3浏览器安全：Web3扩展与浏览器安全防护全指南
Web3浏览器安全概述 1.1 Web3浏览器的定义与特点 Web3浏览器是专门为访问去中心化网络（Web3）设计的浏览器，它不仅具备传统浏览器的功能，还集成了区块链交互能力。 身份验证：确保用户身份不被冒充或盗用 1.3 Web3浏览器的安全挑战 Web3浏览器面临着传统浏览器之外的独特安全挑战： 扩展安全风险：Web3扩展可能存在漏洞或恶意行为 钓鱼攻击：针对加密货币的钓鱼网站数量激增 Web3扩展安全 3.1 常见Web3扩展及其安全风险 Web3浏览器扩展是用户与区块链交互的主要工具，但也带来了安全风险： 扩展名称 主要功能 潜在安全风险 MetaMask 以太坊钱包、DApp交互 安全扩展与工具推荐 9.1 安全审计工具 Web3浏览器安全审计工具帮助用户检查安全风险： Web3Sec：专门针对Web3应用的安全审计工具 MetaMask Defender：监控MetaMask安全状态 总结与展望 Web3浏览器安全是保障用户数字资产和隐私安全的关键。随着Web3技术的发展，浏览器安全面临着新的挑战和机遇。
51810编辑于 2025-11-17 - 来自专栏区块链开发
Web3项目的安全性
Web3项目的安全性至关重要，因为它们涉及去中心化的技术，用户对数据和资产的控制权更高。以下是Web3项目中常见的安全措施和最佳实践。1. 代码一致性：这有助于保持代码的一致性，并确保代码按预期运行，减少引入新错误或安全漏洞的风险。审计和验证：锁定编译器版本也有助于简化合约代码的审计和验证，增强Web3生态系统中对安全措施的信任和信心。 增强信任：实施强大的加密协议不仅有助于维护数据的保密性，还能增强用户对Web3应用处理其宝贵资产安全性的信任。5. 智能合约安全审计代码审计：对智能合约进行定期审计和测试，以识别和解决潜在问题。 隐私与透明度的平衡：零知识证明解决了Web3安全中的一个关键挑战：在保持透明度的同时保护隐私。7. 通过保持信息灵通和适应性强，可以确保组织在不断变化的Web3环境中保持安全和弹性。通过实施这些安全措施，Web3项目可以显著降低安全风险，保护用户数据和资产的安全。
68200编辑于 2025-03-27 - 来自专栏区块链开发
Web3 项目的安全测试和优化
Web3 项目的核心在于去中心化、智能合约和用户对资产的直接控制，这使得其安全模型与传统 Web2 项目有着显著差异。 Web3 项目面临的主要安全挑战：智能合约漏洞： 这是最常见的攻击目标，包括重入攻击、整数溢出/下溢、未经检查的外部调用、访问控制问题、时间戳依赖、随机数安全问题、逻辑错误等。 Web3 项目安全测试方法：安全测试是一个多层次、贯穿项目生命周期的过程。 总结：Web3 项目的安全测试和优化是一个持续的、系统性的工程，需要贯穿于项目的需求设计、开发、测试、部署和运行的每一个阶段。 高度重视智能合约审计、采用安全的开发实践、加强前端和链下组件的安全防护、建立有效的监控和应急响应机制，是确保 Web3 项目及其用户资产安全的关键。
68810编辑于 2025-04-21 - 来自专栏问问计算机
WEB安全
随着技术的不断发展，应用安全会逐渐在各个领域扮演越来越重要的角色。 /Glossary.html） 这个可以为我们了解应用安全的方向找到一个切口。 下面几个日常相对常见的几种安全漏洞： SQL盲注 在appscan中对SQL盲注的解释是：可能会查看、修改或删除数据库条目和表，如下图： appscan中提供的了保护 Web 应用程序免遭 SQL CSRF跨站请求的场景，如下： 1.用户访问网站，登录后在浏览器中存下了cookie的信息 2.用户在某些诱导行为下点击恶意网址，恶意网站借助脚本获取其他的cookie 3.在得到目标cookie后，肆意破坏 应避免不安全值，如‘*’或‘data:’。
2.1K20发布于 2021-09-03 - 来自专栏epoos.com
Web安全
通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。 禁止外域或者不信任域名发起的请求 2.令牌同步模式(Synchronizer token pattern，简称STP)，对于重要请求，按照约定规则生成令牌，发起请求的时候服务端对令牌进行校验，校验不通过则不处理该请求 3.
91810编辑于 2022-06-06 - 来自专栏只喝牛奶的杀手
web安全
随着业务的需要，大数据项目以及大型项目业务越来越多的研发上线，网络知识的普及和频发的安全事件也使客户及业务方对网络安全性要求越来越高，安全测试除了常规的白盒自动化代码扫描外，很多功能、逻辑判断上的安全隐患在目前是无法很清晰的做到自动化分析 ，这个时候需要一定黑盒及手工方法来做深入的安全测试。 好多企业不想为安全买单……，但是码代码的你会考虑基本的安全吗？ 3、选购、支付页面 ①csrf,恶意添加删除购物车货品对用户造成经济损失。 ②支付逻辑，要检查支付或扣费是否只在前端进行了计算而服务端并没有效验。 4、控制台 ①水平权限。 希望每个小伙伴告别理想化编程，做一个有安全意识的工程师！周末愉快！ 你对安全重视吗？
1.2K10发布于 2019-09-02 - 来自专栏epoos.com
Web安全
攻击者想尽一切办法，在网站上注入恶意脚本，使之在用户的浏览器上运行，当用户访问该网站的时候浏览器执行该脚本 攻击者可通过恶意脚本的执行窃取用户的Session、Cookie等敏感信息，进而危害数据安全。 3、DOM型XSS 攻击者构造出特殊的url，包含恶意代码，前端直接取出url中带恶意代码的字符串，并在前端执行 XSS 防护 1、不轻易将不可信代码嵌入html、script、location、redirect-to 来自其它子域的 Cookie信息等，不能直接插入脚本或者直接当做脚本执行 2.对于渲染的内容进行转义： < < > > & & " " ' ' / / 3、 4、设置CSP的安全策略 1）通过meta标签设置 <meta http-equiv="Content-Security-Policy" content="default-src 'self'; img-src '; let clean = DOMPurify.sanitize(dirty); 相关链接 [xss维基百科]https://zh.m.wikipedia.org/zh-hans/跨網站指令碼 内容<em>安全</em>策略
1.1K20编辑于 2022-06-06 - 来自专栏渗透测试专栏
渗透测试web安全综述(2)——Web安全概述
Web安全发展 在早期互联网中，Web并非互联网的主流应用。一方面是因为Web技术还没发展起来，不够成熟;另一方面通过系统软件漏洞往往能获得很高的权限。 相对来说，基于SMTP、POP3、FTP、IRC等协议的服务拥有着绝大多数的用户，因此主要的攻击目标是网络、操作系统以及软件等领域，Web安全领域的攻击与防御技术处于非常原始的阶段。 SQL注入的出现是Web安全史上的一个里程碑，它最早出现大概是1999年，并很快就成为Web安全的头号大敌。就如同缓冲区溢出出现时一样，程序员们不得不日以继夜地去修改程序中存在的漏洞。 SQL注入漏洞至今仍然是Web安全领域中的一个重要组成部分。 XSS(跨站脚本攻击)的出现则是Web安全史上的另一个里程碑。 同时，Web安全技术，也将紧跟着互联网发展的脚步，不断地演化出新的变化。
64720编辑于 2024-09-27 - 来自专栏java思维导图
安全：Web 安全学习笔记
背景 ---- 说来惭愧，6 年的 web 编程生涯，一直没有真正系统的学习 web 安全知识（认证和授权除外），这个月看了一本《Web 安全设计之道》，书中的内容多是从微软官方文档翻译而来，这本书的含金量不高 ，不过也不能说没有收获，本文简单记录一下我学习 Web 安全方面的笔记。 本文不涉及 IIS、Windows 和 SqlServer 的安全管理与配置，尽量只谈编程相关的安全问题。 最简单的 Web 物理架构 ---- ? Web 软件安全攻击防护 ---- 一、浏览器安全攻击 Cookie 假冒 ? 慎重的选择代理服务器 使用安全的传输协议，如：SSL
1.7K31发布于 2019-05-13 - 来自专栏clz
Web开发安全
Web 开发安全 参加字节跳动的青训营时写的笔记。这部分是刘宇晨老师讲的课。 1. 3. 注入攻击 injection 3.1 SQL 注入 demo 4. Dos 通过某种方式(构造特定请求)，导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而引起雪崩效应。 (出自阮一峰的网络日志) 协议相同 域名相同 端口相同 同源政策的目的，是为了保证用户信息的安全，防止恶意的网站窃取数据。 2.2.2 CSP CSP(Content Security Policy)：内容安全策略 决定好哪些源(域名)是安全的 来自安全源的脚本可以执行，否则直接报错 对于 eval / inline script 2.2.4 SameSite Cookie 避免用户信息被携带 下面的部分参考自Cookie 的 SameSite 属性 Cookie 的 SameSite 属性用来限制第三方 Cookie，从而减少安全风险
1.3K20编辑于 2023-01-02 - 来自专栏阿杜的世界
Web应用安全
二、认证与授权 Web容器进行认证与授权的过程： 客户端：浏览器向容器请求一个web资源发出请求； 服务端：容器接受到请求时，容器在“安全表”中查找URL（安全表存储在容器中，用于保存安全信息），如果在安全表中查找到 如果不匹配则再次返回401； 如果匹配，说明认证通过，则接着检查这个用户的权限，容器会查看这个用户指派的“角色”是否允许访问这个资源（即授权），如果授权成功，则把这个资源返回给客户端； 三、实施web安全 安全概念 谁负责？ clickjacking、cross site request forgery等等 支持与Servlet API集成 支持与Spring MVC集成，但不限于此 这里我从Spring Guides找到了一个在web 应用中使用Spring Security保护资源的例子——securing-web demo，我自己试验做了一遍，建议读者也跟着自己实现一遍，加深理解。
2.2K30发布于 2018-08-06 - 来自专栏性能与架构
web安全 - CSP
CSP 全名 内容安全策略（Content Security Policy） 主要用来防御：XSS CSP 基本思路 定义外部内容引用的白名单 例如 页面中有个按钮，执行的动作源于 http:
2K70发布于 2018-04-03 - 来自专栏句小芒的学习专栏
Web安全笔记
Web安全笔记 SQL注入 说明:将SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令 防范: 对输入字符进行严格验证，
79920编辑于 2022-12-29 - 来自专栏网络攻防实战知识交流
Web安全（一）
从今天开始，就和大家介绍一些关于web安全的相关知识，作为一枚十足的多菜鸡，学习web的经验就是多看，多写，多实践，可能会很low，也可能是机械的重复着别人在做的事情，也可能自己理解也很浅显，但是不管怎么样 关于Web渗透入门，无极君有话要讲。很多人都会直接问，关于安全，学习渗透，打CTF比赛怎么学，从哪入手，如何开始。 讲真，对于这问题，我真的不知道怎么回答，因为毕竟web 这个概念太宽泛，我通常都会引导一提问的人，从搭建环境开始，来真实的感受一下什么是漏洞，什么是攻击，什么是渗透，对web安全有一个模糊的概念之后，再去有针对性的去补一些基础知识 ，按照中国的传统教育思维来说，讲web安全首先要讲讲什么机密，完整 可用三个特性，其次再讲什么是web，吧啦吧啦的一堆没鸟用的东西，我们无极的第一课，不会去讲web的哪个漏洞，学什么编程语言，给大家推荐一门教程 以下是教程的链接很练习题的git地址，希望对大家有所帮助 链接:https://pan.baidu.com/s/1Wvw_ge2m26VXUrm5Xgb3Uw 密码:3x7e 解压密码在文件名里 https
94120发布于 2019-07-25
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号