一切的原因都归咎于富文本编辑器.... 应需求将文本域修改成富文本编辑器支持用户直接粘贴图片遭到用户使用网络图片上传方式攻击 攻击代码1" onerror=s=createElement('scrip

使用模板语法代替直接操作 DOM Vue.js 的模板语法可以帮助开发者避免直接操作 DOM，从而降低 XSS 攻击的风险。在 Vue.js 的模板中，可以使用 {{}} 插值语法或 v-bind 指

定睛一看问题出现在我负责的项目的用户登录授权接口上。 链接参数中含有returnUrl（登入成功后返回的页面）。其中未做域名限定处理导致。 URL跳转攻击（URL Redirection），Web业务系统接收到用户提交的URL参数后，未对URL参数进行“可信URL”校验，就向用…

文件上传漏洞是指网络攻击者上传了一个可执行的文件到服务器上，当开发者没有对该文件进行合理的校验及处理的时候，很有可能让程序执行这个上传文件导致安全漏洞。大部分网站都会有文件上传的功能，例如头像、图片、视频等，这块的逻辑如果处理不当，很容易触发服务器漏洞。这种漏洞在以文件名为 U…

上周我们分享了一篇 《Web 安全漏洞之 SQL 注入》，其原理简单来说就是因为 SQL 是一种结构化字符串语言，攻击者利用可以随意构造语句的漏洞构造了开发者意料之外的语句。而今天要讲的 OS 命令注入其实原理和 SQL 注入是类似的，只是场景不一样而已。OS 注入攻击是指程序…

Update： 评论区有同学提出通过域名获取 IP 地址时可能遭遇攻击，感谢提醒。本人非安全专业相关人士，了解不多，实在惭愧。 说到 Web 安全，我们前端可能接触较多的是 XSS 和 CSRF。工作原因，在所负责的内部服务中遭遇了SSRF 的困扰，在此记录一下学习过程及解决方…

可以使用 X-Frame-Options HTTP 响应头，来防御点击劫持。

在用户登陆目标网站后，后端会返回用户登陆的凭证到前端（浏览器的 cookie）。攻击者诱使用户点击某个超链接，该超链接会发送恶意请求（会携带用户的 cookie），从而冒充用户完成业务请求（发帖、盗取用户资金等）。 笔者以网站的发帖功能为案例对 CSRF 攻击进行简单的讲解。 …

通过在网站中的输入框写入 script 脚本或引入 script 文件，如果网站未过滤输入内容，将会解析该脚本。 如果脚本的功能是获取网站的 cookie，cookie 中又保留一些敏感信息，则后果有可能很严重。 页面将会执行 alert(1)。 页面将会执行 alert(2)…