摘要：
Web安全总结 初心 2020年7月大学毕业，参加工作到现在，已经入安全行当1年半，学的东西很多、很杂，没有很好的知识体系结构，为了更好的沉淀自己，所以开始写博客，这篇文章是自己写web相关文章一个规划，将web的漏洞梳理一遍，入行一年，知识面远远不够，可能不全，后面经过时间的沉淀，后续在继续补 阅读全文
posted @ 2022-04-15 14:08
Rodericklog
阅读(299)
评论(0)
推荐(0)
摘要：
综合利用 跨站脚本攻击(XSS) 漏洞描述 攻击者向Web页面里插入恶意的脚本代码（如javascript脚本），当用户浏览该Web页面时，嵌入其中的脚本代码会被执行，达到攻击用户的目的。 【高危】应用中存在存储型跨站 【中危】应用中存在反射型跨站 漏洞挖掘 1)针对web应用程序中每个页面上的用户 阅读全文
posted @ 2022-04-15 13:47
Rodericklog
阅读(328)
评论(0)
推荐(0)
摘要：
权限相关漏洞 权限缺失 Flash跨域访问 漏洞描述 跨域：协议，域名，端口三者为域，既三者之间有一个不同即为跨域。 flash访问另一个域的数据，flash player 会自动从该域加载策略文件（crossdomain.xml）,如果访问的数据所在的域名在策略文件中设置过允许访问，则该域的数据即 阅读全文
posted @ 2022-04-15 13:45
Rodericklog
阅读(897)
评论(0)
推荐(0)
摘要：
防护功能相关漏洞 防护功能失效 账号弱锁定机制 漏洞描述 低危漏洞，系统帐号锁定时间太短，账户在多次尝试失败后锁定时间低于 3 分钟。 漏洞挖掘 直接爆破，看锁定账户时间是否充分。 修复方式 多次输入登陆失败，锁定账户时间超过3分钟 图形验证码可自动获取 漏洞描述 低危漏洞，图形验证码过于简单，可使 阅读全文
posted @ 2022-04-15 13:44
Rodericklog
阅读(1357)
评论(0)
推荐(0)
摘要：
业务相关漏洞 业务逻辑篡改 密码修改/重置流程跳过 漏洞描述 高危漏洞，密码修改功能常采用分步骤方式来实现，攻击者在未知原始密码的情况下绕过某些检验步骤修改用户密码。有些密码修改／重置流程采用step=1、step=2类似的方式实现，如果应用校验不全面，攻击者可绕过前面的步骤，直接访问最后一步，输入 阅读全文
posted @ 2022-04-15 13:42
Rodericklog
阅读(700)
评论(0)
推荐(0)
浙公网安备 33010602011771号