欧美性猛交XXXX免费看蜜桃,成人网18免费韩国,亚洲国产成人精品区综合,欧美日韩一区二区三区高清不卡,亚洲综合一区二区精品久久

最近這段時(shí)間一直在研究HTML和JavaScript的安全問(wèn)題，這里先整理一下Html的安全隱患。

一.Html安全隱患

1.CSRF攻擊【漏洞】

      之前外我寫(xiě)過(guò)一篇《淺談CSRF攻擊方式》，如果想詳細了解CSRF原理及其防御之術(shù)，可以看一下。

      這里簡(jiǎn)單距個(gè)例子說(shuō)明一下：

存在CSRF漏洞Html代碼：

<form action="Transfer.php" method="POST"><p>ToBankId: <input type="text" name="toBankId" /></p><p>Money: <input type="text" name="money" /></p><p><input type="submit" value="Transfer" /></p></form>

以上漏洞的攻擊代碼：

<form method="POST" action="http://www.Bank.com/Transfer.php"><input type="hidden" name="toBankId" value="hyddd"><input type="hidden" name="money" value="10000"></form><script>document.usr_form.submit();</script>

      如果用戶(hù)在登陸www.Bank.com后，訪(fǎng)問(wèn)帶有以上攻擊代碼的頁(yè)面，該用戶(hù)會(huì )在好不之情的情況下，給hyddd轉賬10000塊。這就是CSRF攻擊。

2.包含不同域的Js腳本【隱患】

      在Html頁(yè)面中，包含如：

<script src="http://www.hyddd.com/hello.js"/>

不同域的腳本文件，是一種值得慎重考慮的行為，因為你把本站點(diǎn)的安全和其他站點(diǎn)的安全綁定在一起了。黑客可以通過(guò)入侵修改www.hyddd.com的hello.js文件，達到攻擊的效果。比如說(shuō)：JavaScript Hijacking（關(guān)于JavaScript Hijacking可以參考《深入理解JavaScript Hijacking原理》）。

3.Html中的Hidden Field【隱患】

      注意對隱藏字段的使用。比如hidden的<input>標簽。

      不要把敏感的信息存放在隱藏字段中，以防被別人更改替換和瀏覽器緩存。

4.上傳文件【隱患】

      請慎重對待上傳文件這一功能，因為攻擊者有可能借這個(gè)機會(huì )執行惡意代碼，如圖：

所以請小心處理上傳文件功能。

      以上是我搜集到的4種關(guān)于Htm的安全隱患，資料的主要來(lái)源都是Fortify的一些文章 ，如果有錯漏或者補充，請和我聯(lián)系:>

轉載請說(shuō)明出處，謝謝![hyddd(http://www.cnblogs.com/hyddd/)]

二.參考資料

1.《Input Validation and Representation Fortify Software》

2.《Common Weakness Enumeration》

3.《淺談CSRF攻擊方式》，作者：hyddd