- 主题:若问xss的问题
xss是不是大家开发肯定会考虑的。
文本框的value不转义肯定不行。这点可以理解。
那么问题是
hidden的value不转义的话会被xss吗？如何xss？
--
FROM 114.245.37.*
<input type="text" value="XSS"/>
<input type="hidden" value="XSS"/>
XSS根本就不管是text还是hidden, 就算是<input type="求你别xss啊" value="XSS"/>也还是一样的啊
--
FROM 182.203.133.*
都得转义。
如果Java，可以考虑ESAPI.
有些框架模板会自动转义。
【 在 guizhidao 的大作中提到: 】
: xss是不是大家开发肯定会考虑的。
: 文本框的value不转义肯定不行。这点可以理解。
: 那么问题是
: ...................
--
FROM 124.42.13.*
查了一下，我的理解如下:
所谓的xss，
攻击方式是，a画面跳转到b画面的时候，文本框（或别的什么）的传值里有攻击代码（js），然后在b画面进行html解析的时候执行。
转义作为对应手段，转义的timing是在b画面html解析前。所以，所有可能接到前画面传值的tag都要转义。
如果 <input type="hidden" value="1"/>这样的固定值是不需要的。
以上理解，如有不足或偏差请指正多谢。
【 在 dajun 的大作中提到: 】
: <input type="text" value="XSS"/>
: <input type="hidden" value="XSS"/>
: XSS根本就不管是text还是hidden, 就算是<input type="求你别xss啊" value="XSS"/>也还是一样的啊
--
FROM 223.69.70.*
建议把吴瀚清的《白帽子谈Web安全》看一遍。
【 在 guizhidao 的大作中提到: 】
: 查了一下，我的理解如下:
: 所谓的xss，
: 攻击方式是，a画面跳转到b画面的时候，文本框（或别的什么）的传值里有攻击代码（js），然后在b画面进行html解析的时候执行。
: ...................
--
FROM 124.42.13.*
多谢
【 在 dhcn 的大作中提到: 】
: 建议把吴瀚清的《白帽子谈Web安全》看一遍。
--
FROM 223.69.70.*
你们单位要有白盒代码扫描工具，看测试结果文档会更实在。
【 在 guizhidao 的大作中提到: 】
: 多谢
--
FROM 124.42.13.*
大牛给提供个工具名字呗
知道个appscan
【 在 dhcn 的大作中提到: 】
: 你们单位要有白盒代码扫描工具，看测试结果文档会更实在。
--
FROM 61.148.243.*
appscan是黑盒，白盒比如HP的fortify.不过这两个都是要钱的。
【 在 guizhidao 的大作中提到: 】
: 大牛给提供个工具名字呗
: 知道个appscan
--
FROM 124.42.13.*
有免费的不
【 在 dhcn 的大作中提到: 】
: appscan是黑盒，白盒比如HP的fortify.不过这两个都是要钱的。
--
FROM 223.69.70.*