xss

0熱度

1回答

我已經給出了一些代碼來修復XSS漏洞。一個任務是安全地轉義所有當前的代碼JSP表達式。我使用JSTL來做到這一點。我沒有重構的自由，只是爲了保證安全。邏輯和變量在一個我不能改變的scriptlet中。這樣做的最好方法是什麼？下面是一個可行的解決方案。前： <% String myVar = "string" %> <%= myVar %> 後： <% String myVar =

1熱度

3回答

'tel'屬性在AEM 6.1的經典UI中富文本編輯器中的錨標記的href中不起作用

我正在使用AEM 6.1 SP2，我試圖在定位標記的href中啓用'tel'屬性以使點擊調用功能性工作。我已經添加了'htmlRules'節點，並將htmlRules節點下的節點與'protocols'屬性鏈接爲[http：//，https：//，ftp：//，tel :, mailto :, file：//] 在鏈接中指定 - http://labs.6dglobal.com/blog/201

1熱度

1回答

如果沒有用戶生成的內容，網站是否安全，避免XSS攻擊？

我正在寫一個應該使用需要我存儲令牌的認證系統的小網站。將它存儲在localStorage中對我來說是最方便的選擇，但據我所知，這可能容易受到XSS攻擊。現在，安全要求並不是非常嚴格（沒有特別敏感的數據會被成功的攻擊暴露出來，登錄只是用來跟蹤在網站上誰在做什麼），並且應該沒有用戶生成的內容該網站（沒有評論或這樣的），無論如何它都是通過Angular.js傳遞的。這聽起來像是單獨使用localStor

0熱度

2回答

檢查用戶輸入是否包含帶有javascript的<script>標記。意外標記{

<!DOCTYPE html> <html> <head> <script> function XSSPrevent(){ var usercomments = document.getElementById('usertext').value; if(usercomments.contains("<script>"){ ale

0熱度

1回答

關於window.postMessage（）+ iframes +開發人員工具的安全問題

我已閱讀了如何在使用window.postMessage()時避免安全問題 - 特別是MDN doc中的建議。但是，由於所有預防性提示都是客戶端，我無法理解如何阻止不良操作者從簡單編輯更改其開發人員工具中的代碼。這是我正在處理的情況。我有一個包含嵌入式iframe的頁面，並且我可以控制該iframe（它位於單獨的域上，但提供它的供應商允許我將自定義JavaScript放入iframe源）。父窗

0熱度

1回答

CheckMarx - 跨站點腳本攻擊

我是CheckMarx的新手，可以防止XSS攻擊。我得到這個錯誤： Method %> at line 1 of \app\src\web\searchresults.jsp gets user input for the getSearchResults element. This element’s value then flows through the code without being

0熱度

3回答

我是否需要在HTML表單中使用htmlspecialchars（）用戶輸入來防止XSS？

如果以前有人問過這個問題，我們表示抱歉 - 但在這種情況下，我覺得信息過多，而不是太少。在我看來，每個地方似乎都有矛盾的觀點。任何澄清將不勝感激。我有一個用戶註冊表單。我已驗證了不同的字段，但我沒有對數據使用任何清理功能（例如htmlspecialchars），因爲我讀here，最好將其保留到輸出（例如在用戶配置文件中）。我使用PDO準備好的語句來插入我的數據，所以我在那裏安全，據我所知。但

1熱度

2回答

安全的方式

比方說，我有我的HTML文檔中下面的腳本標籤： <script type="application/json" id="stuff"> { "unicorns": "awesome", "abc": [1, 2, 3] } </script> 和我解析此JSON在我的應用程序。有人告訴我...... 這種將json嵌入到腳本標記中的方法存在潛在的安

1熱度

1回答

通過剝離所有英文字符來防止XSS安全嗎？

我們有這個純粹的阿拉伯語的asp.net應用程序。此應用程序中的大多數字段只接受阿拉伯字符，不應該有單個英文字母。所以我在想，如果我把所有的阿拉伯字符和任何標點符號列入白名單，就可以將所有英文字符去掉，我希望XSS不能進入這些字段。這基本上具有非拉丁字符輸入的優點。對不對？爲什麼？

0熱度

2回答

如果開發人員通過引用鏈接頭緩解攻擊，是否有可能實現CSRF

經過pentate測試後，開發人員僅通過引用鏈接頭緩解了CSRF漏洞。該應用程序還有其他漏洞，如XSS。在XSS的幫助下可以利用CSRF嗎？如果是的話如何？