Re: [心得] 今天去OWASP的心得

看板Soft_Job (軟體人)作者ledia (下班後才下棋)時間18年前 (2007/09/28 10:25)推噓1(1推 0噓 0→)

留言1則, 1人參與討論串4/4 (看更多)

※ 引述《TonyQ (骨頭)》之銘言： : ※ 引述《wa120 (哇120)》之銘言： : : 本人對於最後提到的PHP(?)的四個安全漏洞感到有興趣 : 這些只要是 web application 就有可能會碰到 . 我沒去聽 OWASP ( 本來要去的 :( ) 不過也來分享一下之前聽到的問題 : : 希望大家能有去聽的能說明一下最後那四個資訊安全議題的內容... : : (因為我英文聽力也許也不怎麼好>"<) : : 1.Cross-site scripting (XSS) : : 我只聽到用get傳送語法後面加一串alert(XXX)然後 : : cookie的內容就出來了...(我想知道使用方法...) : 這裡有解說的很清楚XD : http://twpug.net/modules/smartsection/item.php?itemid=34 : 簡單來說，就是讓使用自己定義的空間(評論、留言、blog等)中， : 包含了可以執行JavaScript的部份。 : 比方說，我今天到無名寫網誌， : 我網誌內容可能加上某一段 : <script type="javascript">alert("hii");</script> : 如果他沒有過濾 < 這一個字元成 &alt; (現在的無名有,以前沒有) : 就很有可能會被當成真正的程式碼執行。 : 然後document.cookie 可以取得目前的cookie ... : 我記得不少部落格寵物都是用script形式擺的， : 其實就是某種程度的XSS。 XD : http://cgisecurity.com/lib/XSS.pdf : solution就是不要給使用者有自定義惡意程式碼的空間～～其實有時候也不一定需要拿到 cookie 可以讓使用者自己願者上勾如果某服務只有單純使用 cookie 的話那就可以寫個惡意網頁, 一連上去就自動開 connection 出去利用受害者自己的 cookie 去做事情我舉個例子, 大部份 blogger 在看自己 blog 時會是登入狀態如果你在他的留言板上留下類似 "熱門星光資訊請見 <連結>" 那個連結連到的惡意網頁會自動開 connection 連回 blog 去受害者的 "朋友" blog 上貼一樣的留言以及對自己的 blog 做一些黑暗的事情當然也還可以做得更邪惡一點這個問題是在某個前輩的 blog 上看到的而之前我自己寫的 proof-of-concept 也成功的把我自己整個 blog 的文章都砍光了囧是哪個 blog 我就先不提了我也不知道現在修好了沒 : : 2.忘了叫什麼印象中是 : : <input type="text" value=""onMouseOut=" "> : : (亮色部份是被插入的語法) : 我也一點印象都沒有了........XD 這個應該是某些會自動代入文字的 text box 吧 quote 符號未經處理就丟到 web page 上來應該是跟 SQL Injection 一樣基本要注意的問題了 -- 有時候，遺忘，是令人快樂的。什麼時候？當然是有人傷了你的心的時候。　存心傷你的那個人，固然是故意和你過不去，但是被傷了心而耿耿於懷的你　，卻是和自己過不去了。所以，記性不好的人，通常會是比較快樂的人，也　是比較不容易被擊倒的人。 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 140.112.30.56 ※ 編輯: ledia 來自: 140.112.30.56 (09/28 10:27)