web安全学习之xss个人总结

由hollowkid 分享时间：2023-09-07 08:35:41 收藏本文

web安全学习之xss个人总结

【简介】感谢网友“hollowkid”参与投稿，以下是小编整理的web安全学习之xss个人总结（共18篇），欢迎阅读分享，希望对您有所帮助。

篇1：网络欺骗之 (图)WEB安全

是近期比较火热的项目之一，它的功能主要有如下几点：

1.省漫游费、省长途费（0.1元/分钟）

2.无需改变手机任何部件，使您的普通手机马上升级成双模手机

3.网络互补，通话无盲区

4.成倍增加电话储存量

5.在线切换，护卡及延长手机使用寿命

看了以上几点，你感觉如何？是不是跟我一样，感叹于科学技术的进步，小小一张卡片，解决了数千元的难题，然而实际情况如何呢？近日，记者走访了中国移动本地办事处的程主任，他指出：一张卡运行两个同运营商的号是可能的，但一张卡使用两个不同运营商的号是绝不可能、也不允许的，

另外，据手机业内人士介绍，早在两年前的香港就出现了克隆卡，它通过破译SIM卡芯片内码，将两张SIM卡芯片内码重新烧制到一张新SIM卡上，然后通过软件实现不关机切换运营商。这种卡表面上看没什么问题，实际上毫无使用价值，因为一张卡具有两组内码，在登录网络时经常发生网络内呼叫信号紊乱的问题，看看倒是可以，用它你基本上别想正常打电话！

记者采访的周先生，讲述了他自己投资“魔卡”上当入局的故事。

读过北京XX机械制造有限公司网页上的宣传资料后，我确实激动万分，认为找到了一条致富之路，于是很快跟公司负责人黄某某联系上了，他告诉我当前全国70%的城市都有他们的代理，并说我市已有用户申请总代，不再考虑其他投资者，当时我大失所望，感慨于商机不再，

然而下午黄某某打来电话，说经过权衡，他们取消了本市那位总代，而重新考虑我的申请，不过需要在原有投资基础上增加两百元的“好处费”。我想多的都给了，也不在乎这两百元，于是一口答应。

到北京后得到了黄某某的接待，他出示了公司的合法经营执照，并拿出自己的手机演示了一下，我看见屏幕上“中国移动”的字样变成了“中国联通”，随后他还分别用两个号码拔通了旅馆电话号码。当问及是否会对手机产生不良影响时，他回答说，手机不变、号码不变、通信网络不变，不会对手机与SIM卡产生不良影响。

最后，我缴纳了加盟费，并带着刷卡器、电脑、样卡回到家乡。然而当我实际操作时，却发现无论如何也不能在一张卡上刷两个号码，即使偶尔刷成功了也只能在手机屏幕上显示“中国移动”或“中国联通”字样，而不能用刷的号码拔打电话。当我打电话到公司，黄某某说一定是我的操作有问题。来来去去打了几十个电话，最后他们干脆不接我的电话了，又跑了一趟北京，却找不到与我接洽的黄某某，称其出外跑市场去了。

编辑语：

按照规定，只有取得移动或联通许可的电信企业，才能为本企业手机用户制作并销售SIM卡，任何未取得经营许可的单位和个人，擅自制作、销售手机SIM卡都属违法。因此，大家不要轻易相信类似骗局。

篇2：Web安全测试之XSS脚本安全

在网页中的Textbox或者其他能输入数据的地方，输入这些测试脚本，看能不能弹出对话框，能弹出的话说明存在XSS漏洞

在URL中查看有那些变量通过URL把值传给Web服务器，把这些变量的值退换成我们的测试的脚本，然后看我们的脚本是否能执行

方法三: 自动化测试XSS漏洞

现在已经有很多XSS扫描工具了。实现XSS自动化测试非常简单，只需要用HttpWebRequest类。把包含xss 测试脚本。发送给Web服务器。然后查看HttpWebResponse中，我们的XSS测试脚本是否已经注入进去了。

HTML Encode 和URL Encode的区别

刚开始我老是把这两个东西搞混淆, 其实这是两个不同的东西。

HTML编码前面已经介绍过了，关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。

例如在baidu中搜索“测试汉字”。 URL会变成

www.baidu.com/s?wd=%B2%E2%CA%D4%BA%BA%D7%D6&rsv_bp=0&rsv_spt=3&inputT=7477

所谓URL编码就是：把所有非字母数字字符都将被替换成百分号（%）后跟两位十六进制数，空格则编码为加号（+）

在C#中已经提供了现成的方法，只要调用HttpUtility.UrlEncode(“string ”) 就可以了，（需要引用System.Web程序集）

Fiddler中也提供了很方便的工具, 点击Toolbar上的“TextWizard” 按钮

浏览器中的XSS过滤器

为了防止发生XSS，很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。例如IE8，IE9，Firefox, Chrome. 都有针对XSS的安全机制。浏览器会阻止XSS。例如下图

如果需要做测试，最好使用IE7。

ASP.NET中的XSS安全机制

ASP.NET中有防范XSS的机制，对提交的表单会自动检查是否存在XSS，当用户试图输入XSS代码的时候，ASP.NET会抛出一个错误如下图

很多程序员对安全没有概念，甚至不知道有XSS的存在。 ASP.NET在这一点上做到默认安全。这样的话就算是没有安全意识的程序员也能写出一个”较安全的网站“。

如果想禁止这个安全特性，可以通过 <%@ Page validateRequest=“false“ %>

篇3：Flash安全的一些总结WEB安全

整理了下Flash安全相关的知识，后面会再完善

一、先来说crossdomain.xml这个文件

flash如何跨域通信，全靠crossdomain.xml这个文件，这个文件配置在服务端，一般为根目录下，限制了flash是否可以跨域获取数据以及允许从什么地方跨域获取数据。

比如下面的列子：

1、www.a.com域下不存在crossdomain.xml文件，则不允许除了www.a.com域之外的其他任何域下的flash进行跨域请求。

2、www.a.com域下存在crossdomain.xml文件，如若配置 allow-access-from 为www.b.com，则只允许www.b.com域下的flash进行跨域请求，以及来自自身域www.a.com的网络请求。

crossdomain.xml需严格遵守XML语法，有且仅有一个根节点cross-domain-policy，且不包含任何属性。在此根节点下只能包含如下的子节点：

site-control

allow-access-from

allow-access-from-identity

allow-http-request-headers-from

site-control

早期的flash允许从其他位置载入自定义的策略文件，目前最新版的flash在接受自定义的策略文件之前会去检查主目录的crossdomain.xml来判断是否接受自定义策略文件。该选项就由site-control进行控制。

不加该选项时，默认情况下flash不加载除主策略文件之外的其他策略文件，即只接受根目录下的crossdomain.xml，这样可以防止利用上传自定义策略文件进行的攻击。如果需要启用其他策略文件，则需要配置permitted-cross-domain-policies属性，该属性有以下五个值： none: 不允许使用loadPolicyFile方法加载任何策略文件，包括此主策略文件。

master-only: 只允许使用主策略文件[默认值]。

by-content-type:只允许使用loadPolicyFile方法加载HTTP/HTTPS协议下Content-Type为text/x-cross-domain-policy的文件作为跨域策略文件。

by-ftp-filename:只允许使用loadPolicyFile方法加载FTP协议下文件名为crossdomain.xml的文件作为跨域策略文件。

all: 可使用loadPolicyFile方法加载目标域上的任何文件作为跨域策略文件，甚至是一个JPG也可被加载为策略文件！

例子：

允许通过HTTP/HTTPS协议加载http头中Content-Type为text/x-cross-domain-policy的文件作为策略文件

允许加载任意文件作为策略文件

allow-access-from

该选项用来限制哪些域有权限进行跨域请求数据。

allow-access-from有三个属性

domain：有效的值为IP、域名，子域名代表不同的域，通配符*单独使用代表所有域。通配符作为前缀和域名进行组合代表多个域，比如*.weibo.com,代表weibo.com所有的子域。

to-ports：该属性值表明允许访问读取本域内容的socket连接端口范围。可使用to-ports=”1100,1120-1125“这样的形式来限定端口范围，也可使用通配符（*）表示允许所有端口。

secure：该属性值指明信息是否经加密传输。当crossdomain.xml文件使用https加载时，secure默认设为true。此时将不允许flash传输非https加密内容。若手工设置为false则允许flash传输非https加密内容。

例子

a.com/crossdomain.xml文件内容如下

允许所有qq.com的子域通过https对t.qq.com域进行跨域请求。

allow-access-from-identity

该节点配置跨域访问策略为允许有特定证书的来源跨域访问本域上的资源。每个allow-access-from-identity节点最多只能包含一个signatory子节点。

allow-http-request-headers-from

此节点授权第三方域flash向本域发送用户定义的http头。

allow-http-request-headers-from包含三个属性：

domain：作用及参数格式与allow-access-from节点中的domain类似。

headers：以逗号隔开的列表，表明允许发送的http头。可用通配符（*）表示全部http头。

secure：作用及用法与allow-access-from节点中的secure相同。

注：Flash 在自定义HTTP头中无法使用下列请求标题，并且受限制的词不区分大小写（例如，不允许使用 Get、get 和 GET）。另外，如果使用下划线字符，这也适用于带连字符的词（例如，不允许使用 Content-Length 和 Content_Length）：

Accept-Charset、Accept-Encoding、Accept-Ranges、Age、Allow、Allowed、Authorization、Charge-To、Connect、Connection、Content-Length、Content-Location、Content-Range、Cookie、Date、Delete、ETag、Expect、Get、Head、Host、Keep-Alive、Last-Modified、Location、Max-Forwards、Options、Post、Proxy-Authenticate、Proxy-Authorization、Proxy-Connection、Public、Put、Range、Referer、Request-Range、Retry-After、Server、TE、Trace、Trailer、Transfer-Encoding、Upgrade、URI、User-Agent、Vary、Via、Warning、WWW-Authenticate 和 x-flash-version，

二、web应用中安全使用flash

设置严格的crossdomain.xml文件可以提高服务端的安全性，在web应用中也会经常使用flash，一般是通过

flash是直接可以执行js代码的，所以在web应用中如果使用不当也会很危险，所以flash使用下面两个属性来保证引用flash时的安全性。

allowScriptAccess 和 allowNetworking

allowScriptAccess用来控制flash与html的通讯，可选的值为：

always //对与html的通讯也就是执行javascript不做任何限制

sameDomain //只允许来自于本域的flash与html通讯，这是默认值

never //绝对禁止flash与页面的通讯

allowNetworking用来控制flash与外部的网络通讯，可选的值为：

all //允许使用所有的网络通讯，也是默认值

internal //flash不能与浏览器通讯如navigateToURL，但是可以调用其他的API

none //禁止任何的网络通讯

在allowNetworking设置为internal时，下面API将会被禁止使用：

fscommand

navigateToURL()

ExternalInterface.call()

在allowNetworking设置为none时，下面API将会被禁止使用：

sendToURL()

FileReference.download()

FileReference.upload()

Loader.load()

LocalConnection.connect()

LocalConnection.send()

NetConnection.connect()

URLStream.load()

NetStream.play()

Security.loadPolicyFile()

SharedObject.getLocal()

SharedObject.getRemote()

Socket.connect()

Sound.load()

URLLoader.load()

XMLSocket.connect()

在web应用中使用flash的时候一般通过设置这两项即可保证安全性，如果在web应用中使用的flash为用户可控，强烈建议这两项的设置值为

allowScriptAccess=never allowNetworking=none

三、flash安全编程

如果web应用中调用flash时设置的allowScriptAccess为never、allowNetworking为none，即使flash文件本身存在漏洞也可以忽略。不过事实上大部分web应用不会设置这两项属性，甚至会设置的不安全，比如allowScriptAccess为always、allowNetworking为all。所以在进行flash开发的时候就要考虑好安全性。

flash编程不安全可导致两方面的漏洞：

1、通过ExternalInterface.call()执行javascript代码

2、通过loadMovie()等方式可以载入外部flash文件执行

这两类问题都是需要通过参数接收外面传入的数据，在flash内部没有对数据进行严格的控制造成的。

例子：

this.movieName = root.loaderInfo.parameters.movieName;

this.flashReady_Callback = ”SWFUpload.instances[\\“” + this.movieName + “\\”].flashReady“;

ExternalCall.Simple(this.flashReady_Callback);

public static function Simple(arg0:String){

ExternalInterface.call(arg0);

return;

}

接收到外部传入的movieName没有进行处理，最后通过ExternalInterface.call()进行执行，这样就能够执行任意的javascript代码，如果在调用flash的时候设置的不够安全就是XSS漏洞。

所以在flash编程中如果需要通过参数接收外部传入的数据，一定要对数据进行严格的检查，这样才能保证flash安全性。

参考文档：

Flash应用安全规范 www.80sec.com/flash-security-polic.html

flash跨域策略文件crossdomain.xml配置详解hi.baidu.com/cncxz/blog/item/7be889fa8f47a20c6c22eb3a.html

Cross-domain Policy File Specificationwww.senocular.com/pub/adobe/crossdomain/policyfiles.html

篇4：幼儿园安全个人学习总结

“幼儿安全”是家长们最为重视的问题之一，也是孩子们在成长中最不能忽视的问题，在生活中安全隐患是无处不在的，所以我们老师要打起十二分的精神，绝对不能放松，懈怠。

在讲座中，园长就幼儿园常见事故类型，事故原因，以及事故预防和处理措施及其相关法律、法规等问题，采用案例剖析、比较分析等方式，认真详细地向老师们介绍了幼儿安全事故的应急处理，事故突发情况下，保护幼儿以及自我防范的方法、对策和建议。整场讲座既有理论层面的思考，又有实践经验的总结，贴近幼儿园工作实际，内容生动，发人深省，在教职工中产生了强烈反响。通过本次讲座，有效提高了我们教职员工的安全责任意识，深感幼儿安全教育责任重于泰山。

工作中必须加强安全隐患排查，安全教育、防范措施要到位，要以这次学习为契机，加强学习，在实际工作中不断提高自己的安全意识和防范能力，时刻保持高度的警惕性和强烈的责任心，确保幼儿园长久治安，和谐安宁。