我试图通过清理包含特殊字符的请求并遵循 OWASP 指南来防止我的应用程序中的 XSS 攻击。 但是根据业务要求，他们需要使用我清理过的所有特殊字符。 我们有多个第 3 方集成，其中大多数还需要从我们的系统发送这些特殊字符。 为了仅在我们的系统中防止攻击，清理我们发送给 web 应用程序的响应而不是 ...
我有一个基于订阅的应用程序，它是使用 MERN 构建的。 我最近提交了应用程序进行安全测试，我收到的回复之一是应用程序不应具体告诉用户为什么他们的注册申请在所有情况下都被拒绝。 例如，如果他们输入已注册的用户名或 email，我不应返回“抱歉，此用户名已注册”的错误消息，因为这将允许用户构建用户和电 ...
如果以指定的格式给出日志，并且要进行恶意活动识别的调查，初学者应该从哪里开始呢？ 是否有任何软件可以识别恶意活动。 但是我应该用 Pandas、numpy 等来做请给我一个路径，我可以从哪里开始我的研究日志格式 ...
我正在开发 asp.net 应用程序以消除安全漏洞。 我要讨论的漏洞是“ X-XSS 保护”和“点击劫持”。 我进行了搜索并点击了这个链接。 我只是使用了标题下的解决方案'在 Web.Config 中使用<customHeaders> ' 在此之后，当我运行应用程序时，出现 500 in ...
我对DOM Clobbering的主题有一些疑问： Portswigger 对此进行了解释： 要利用此易受攻击的代码，您可以注入以下 HTML 以使用锚元素破坏 someObject 引用： 由于两个锚点使用相同的 ID，DOM 将它们组合在一个 DOM 集合中。 DOM 破坏向量然后用这个 D ...
我的 jboss 服务器上运行了 4 个应用程序，我想为特定应用程序禁用“X-PoweredBy”header 响应。 如果我运行 shell 脚本并尝试更改它，它将适用于服务器上的所有实例。 我如何单独为一个应用程序执行此操作？ ...
我遇到了HTTP HELP方法（ https://portswigger.net/research/cracking-the-lens-targeting-https-hidden-attack-surface章节“无效主机”）并问自己：是否还有其他系统提供类似的东西？ 我想知道渗透测试者是如何想出 ...
自我 XSS 和反射 XSS 有什么区别？ 如果我发现一个 XSS 漏洞，我怎么知道它是自我 XSS 还是反射 XSS？ 我已经尝试在 Google 上阅读很多文章，但仍然感到困惑。 提前致谢！ ...
我正在努力解决一些应用程序漏洞。 我有一个带有 url http://localhost:12997/Manning_HQ/Edit/1274的编辑页面，问题是用户能够更改 ID 并能够访问不应该访问的其他请求。 我搜索了URLEncoding ，但发现它只能确保所有浏览器都能正确传输 URL 字符 ...