吸吸吸吸吸猫~
日常小结,大佬无视
前述持久化 XSS 的常见姿势有
with CSRF Inject
opener hijack
window.opener.location="javascript:alert('Xss')";void(0);
link hijack
for (i = 0; i < document.links.length; i++) {
document.links[i].οnclick = function () {
x = window.open(this.href);
setTimeout(function () {
...
CSP 的实质就是白名单制度,开发者明确告诉客户端,哪些外部资源可以加载和执行,等同于提供白名单。它的实现和执行全部由浏览器完成,开发者只需提供配置。
CSP 大大增强了网页的安全性。攻击者即使发现了漏洞,也没法注入脚本,除非还控制了一台列入了白名单的可信主机。
写这篇文章是因二向箔的弹窗挑战赛(开放中),发现对 svg 在 xss 中里的利用知之甚少,学习 more(其实就是老生常谈)
又是熟悉的味道,这回将内容写的详细点方便理解
基础总结(-:-)
慢慢接触代码审计,一点一点啃吧;3
总的下来,利用主从连接断开恢复后全量备份写入 so 进行加载调用
也可以当做任意文件上传,配合之前的利用方式进行攻击
很少用过,所以没有探究过原理,被别人问到不知怎么回答,Orz