xssWAF绕过与修复

原创 已于 2022-04-17 19:37:19 修改 · 1.4w 阅读 · 0 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
于 2022-04-17 19:36:27 首次发布

20 xssWAF绕过与修复

20.1课程大纲

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-QxxZsEi2-1650194786706)(%E5%B0%8F%E8%BF%AA%E7%AC%94%E8%AE%B0%E7%AC%AC%E4%BA%8C%E9%83%A8%E5%88%86.assets/7050e5af3cdee1db7fec2d84053c92bed92d3b87.png@831w_768h_progressive-1650180086162.webp)]

参考链接： 【小迪安全】Day28web漏洞-XSS跨站之WAF绕过及修复 - 哔哩哔哩 (bilibili.com)

20.2课程截图
20.2.1.在标签前面加入/代表便签结束可以绕过安全狗

（但是有时候会因为会使得标签失效）

在这里插入图片描述

20.2.2.xssfuzzer.com可以生成有关xss漏洞的js代码字典

或者也可以使用fuzzdb这个工具生成字典再通过Burp配合进行xss绕过

在这里插入图片描述

20.2.3.使用post提交进行绕过

首先在源代码中变量的提交方式必须是request（全局接受）或者post接受，同时安全狗设置为不检测post输入

在这里插入图片描述

20.2.4.使用编码进行绕过

（但是前提是浏览器本身能够识别这样的编码）

在这里插入图片描述

20.2.5.XSSstrike

有很多这样的工具

使用里面的fuzzer可以得到

可以扫描出那些标签是可以绕过的，哪一些是会被拦截的
在这里插入图片描述

在这里插入图片描述

或者采用输入这种方式，让其直接使用内置的payload进行测试
在这里插入图片描述

20.3修复

输入过滤，输出过程，开启httponly等

标签
#web安全
nightswatch1
关注
was中奇怪的生僻字乱码案例
小毛的胡思乱想
02-11 2167
问题描述这个今天早上提供的一个生产问题。大体是说，改资料的时候，有个客户的名字有生僻字，叫”刘”,保存之后就乱码了，变成”刘?”分析过程乱码需要确认数据传输过程中编码方式。 数据是通过jQuery的ajax过来的，并且没有提前处理数据(只有组装了一个js对象)，所以是采用encodeURIComponent进行处理的，对于中文可以很粗糙的理解成UTF-8编码过。这一点通过抓包工具是可以确认的。 到
java打印语句输出xxxxxl19was.was
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
10-07 12万+
如果想要一次性直接输出打印语句，可以直接System.out.println("xxxxxl19was.was")，Java打印输出下一次敲so直接回车就会默认sout；选择souf的效果是printf，也是如此。 数据库创建表xxxxxl19was.was
Free Heap block XXXXXXXX modified at XXXXXXXX after it was freed
热门推荐
ybw1085075003的专栏
02-13 28万+
Free Heap block XXXXXXXX modified at XXXXXXXX after it was freed，C++报出这个错误，这个BUG是堆溢出错误，意思是程序修改的堆空间在之前已经被释放掉了（释放掉的堆空间是不可以进行写操作的）但是这个错误在进行写错误的时候不会弹出，因为如果每次进行堆空间写操作就进行堆检查，那么程序的系统开销会变得非常大。一般只有在free，malloc
RK3568平台（内存篇）DDR定频修改
weixin_49303682的博客
12-08 1571
如果需要DDR定频，则还需要注释掉其他多余的DDR频率，保留一个即可，例如注释掉opp-528000000、opp-1068000000、opp-1560000000，保留opp-2750000000则是定频最大频率。如果回退必须将 dmc_opp_table节点 的其他频率打开，否则系统无法选择到其他频率运行。ddr频点不对，先把ddr变频关掉，关闭后系统就不会一直重启了，以下是修改DDR频点的。rk3588修改定频节点在rk3588s.dtsi 的 dmc: dmc。
WAS与WAS ND有什么区别？
shaofei的记事本
02-10 3万+
WAS与WAS ND有什么区别？
csrf,ssrf,rce,文件包含漏洞，文件上传漏洞
nightswatch1的博客
04-21 3664
21 CSRF与SSRF漏洞 21.1课程大纲 参考链接： 【小迪安全】Day29web漏洞-CSRF及SSRF漏洞案例讲解-哔哩哔哩(bilibili.com) 正在上传…重新上传取消 参考①：cnblogs.com/dogecheng/p/11583412.thml 21.2CSRF...
2024全网最全面及最新且最为详细的网络安全技巧 七之 XSS漏洞典例分析POC以及 如何防御和修复[含JAVASCRIPT和HTML代码层面分析，代码都进行了详细的注释](3)———— 作者：LJS
跟我加入白帽大家庭，共捍亿万互联网用户安全！
07-26 1426
XSS漏洞典例分析EXP以及 如何防御和修复:含JAVASCRIPT和HTML代码层面分析，代码都进行了详细的注释
2024全网最全面及最新且最为详细的网络安全技巧 七之 XSS漏洞典例分析POC以及 如何防御和修复[含JAVASCRIPT和HTML代码层面分析，代码都进行了详细的注释]
zzz6583zz的博客
09-18 925
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
2024全网最全面及最新且最为详细的网络安全技巧 七之 XSS漏洞典例分析POC以及 如何防御和修复[含JAVASCRIPT和HTML代码层面分析，代码都进行了详细的注释](3)
heike_Ch的博客
09-13 968
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
android graphic(19)—why Android's UI was designed the way it is and how it actually works
lyf's blog
03-30 1万+
作者是google的framework工程师Dianne Hackborn。A few days ago I wrote a post trying to correct a lot of the inaccurate statements I have seen repeatedly mentioned about how graphics on Android works. This resul
WAS 服务器负载测试软件使用说明
RainyLin-SunnyLin的专栏
12-25 2万+
WAS 服务器负载测试软件使用说明 （ Microsoft Web Application Stress Tool ） 一、建立新脚本     方法一、启动 WAS 软件后会自动显示建立新脚本的提示页面，选择 [manual] 按钮就可完成建立新脚本的功能。     方法二、启动 WAS 软件后点击 [new script] 按钮
AIX上静默安装WAS8.5.5.x的记录及思考
first10010的专栏
10-05 2万+
以前安装Rational及IBM软件，大部分都是在Windows环境下；即使在Linux环境下，也是通过图形化界面来操作的。 印象中，只有1次，是在AIX上，用Silent方式安装了CC7.1.2.x。 这次安装WAS8.5.5.x，用户的环境是AIX，并且禁用图形化界面，只能静默安装了。 首先，安装Installation Manager，执行以下命令： ./installc -acce
signature=ce3749e32499f735ef27570bbf906728,MyPet/yarn-error.log at master · giseles/MyPet · GitHub
weixin_39845347的博客
05-30 9016
Arguments:D:\Program Files\nodejs\node.exe C:\Program Files (x86)\Yarn\bin\yarn.js add @tarojs/taro-weapp --silent --no-progressPATH:D:\Program Files\nodejs\node_modules\npm\node_modules\npm-lifecycle...
点击查看全部，显示其余内容
weixin_40682730的博客
07-18 1万+
<style>         #myarticle{             width:700px;             height:300px;             overflow-y:hidden;             border:1px solid green;             margin:20px auto;         }         ...
POJ 百练 2965: 玛雅历
youyang1991的专栏
08-28 1万+
注意： 月份是days%13+1，不是(days%260)/13+1。很容易出错的。  时间限制: 1000ms 内存限制: 65536kB 描述 上周末，M.A. Ya教授对古老的玛雅有了一个重大发现。从一个古老的节绳（玛雅人用于记事的工具）中，教授发现玛雅人使用了一个
Java was started but returned exit code=13
小工匠
03-07 2万+
概述 查看JDK 解决办法 概述 最近将Spring Tool Suit 由3.6.4更新最新版本的3.9.2 https://spring.io/tools/sts/all ，下载64位版本的STS 。 因为3.9.2必须使用JDK8，所以需要安装JDK8。 于是到，官网上下载JDK8 http://www.oracle.com/technetwork/java/jav...
poj2376 java_Java & PHP & Javascript 通用 RSA 加密 解密 (长字符串)
weixin_42143806的博客
02-24 2210
1 (function(global, factory) {2 typeof exports === ‘object‘ && typeof module !== ‘undefined‘ ?factory(exports) :3 typeof define === ‘function‘ && define.amd ? define([‘expo...
WAS基本使用手册
Mr. David 专栏
11-16 2万+
1.  基本介绍 WebSphereApplication Server(简称WAS)是IBM的应用服务器   基本结构:单元(cell) ——> 多个节点(node) ——> 多个服务(server) ——> 多个应用(app)   单元是整个分布式网络中一个或多个节点的逻辑分组 单元是一个配置概念, 是管理员将节点间逻辑关联起来的实现方法, 可以将单元看作是WAS最大的作用域 2
WAS ND节点同步故障解决
数据库天地
02-15 666
同步概念：在IBMWASND产品中，管理配置数据都存储在XML文件中。单元保留了它每个节点中每台服务器的主配置文件。同时每个节点和服务器也有其自己的本地配置文件。如果服务器已经属于单元，则对于本地节点或服务器配置文件的更改都是临时的，通过在本地提交更改生效时，本地更改覆盖单元配置，但是当执行单元配置文档同步到节点的操作时，在单元级别上对主控服务器和主节点配置文件所作的更改将会替换对该节点所作的任何...
ascii码从小到大+php_php与ascii码
weixin_39991222的博客
12-20 521
首先 简单说一下历史，ascii码最开始是美国人搞出来的，用来干什么呢？我们知道，计算机只知道0和1，如果我们要计算机识别除了01之外的字符，例如 'a'，我们要先告诉计算机‘1100001’就是'a'。跟摩斯密码一样，敲几下三长两短就是代表sos(开玩笑)。所谓的字符编码，就是跟计算机打交 道，跟计算机约定一连串的0101到底代表了什么字符。ascii编码是鼻祖了，不过由于ascii只有8bit...
RK3568 低功耗设计全解析：DVFS 策略与 PMIC 电源管理
最新发布
远程部署调试 运行安装 项目调试 二次开发 项目技术新 持续迭代 部分源码免费分享
08-04 1984
本文深入解析RK3568处理器的低功耗优化方案。从硬件架构分析入手，阐述四核Cortex-A55的功耗特性及分层电源域设计。重点介绍DVFS动态调压调频技术，包括Linux内核配置方法及场景化策略设计。详细讲解RK809 PMIC的电源管理优化，提供外设电源域控制与休眠唤醒配置的实战案例。通过智能终端应用实例，展示待机功耗从280mA降至65mA的优化效果，并推荐功率测试工具。文章强调需要平衡性能与功耗，结合场景定制策略，并指出AI负载预测等未来优化方向，为RK3568开发者提供系统性的低功耗解决方案。
第三届阿里云磐久智维算法大赛数据集
第三届阿里云磐久智维算法大赛训练标签数据, 数据文件名: preliminary_train_label_dataset.csv, preliminary_train_label_dataset_s.csv0类和1类表示CPU相关故障，2类表示内存相关故障，3类表示其他类型故障。选手提交数据, 数据文件名: preliminary_submit_dataset_a.csv, 对应的log文件名：preliminary_sel_log_dataset_a.csv。选手需要使用preliminary_sel_log_dataset_a.csv中的日志内容，评测出对应的诊断结果，并填充到preliminary_submit_dataset_a.csv中，preliminary_submit_dataset_a.csv是选手需要提交到系统的最终结果文件。选手提交文件请参见preliminary_submit_dataset_a.csv, 不是preliminary_submit_dataset.csv
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值