在前一篇文章《运用HTTP Headers防护WEB进犯(Part1)》中咱们了解到怎么运用X-Frame选项防护点击绑架进犯。在本文中咱们将会评论别的一个HTTP Header选项,X-XSS-Protection。和前一篇文章相似,咱们会先看看缝隙网页然后再运用这个HTTP头选项来防护。
从源码剖析
设置与前一篇文章相似,用户成功登录之后会呈现一个控制台界面,这儿能够进行搜索,如下代码即完成代码:
php
session_start();
session_regenerate_id();
if(!isset($_SESSION['admin_loggedin']))
{
header('Location: index.php');
}
if(isset($_GET['search']))
{
if(!empty($_GET['search']))
{
$text = $_GET['search'];
}
else
{
$text = "No text Entered";
}
}
?>
charset="UTF-8">
Admin Home
rel="stylesheet" href="styles.css">
id="home">
id=text> id="text2">Welcome to Dashboard... You are logged in as: php echo $_SESSION['admin_loggedin']; ?> href="logout.php">[logout]
action="" method="GET">
id="search">
id="text">Search Values type="text" name="search" id="textbox">
type="submit" value="Search" name="Search" id="but"/>
id="error"> id="text2">You Entered:php echo $text; ?>
从上面的代码中,咱们能够看到应用程序没有对用户输入进行过滤而留下了缝隙。
接着,咱们从HTTP呼应头信息中看到应用程序没有任何额定的维护机制。
HTTP/1.1 200 OK
Date: Sun, 12 Apr 2019 14:53:37 GMT
Server: Apache/2.2.29 (Unix) mod_fastcgi/2.4.6 mod_wsgi/3.4 Python/2.7.8 PHP/5.6.2 mod_ssl/2.2.29 OpenSSL/0.9.8y DAV/2 mod_perl/2.0.8 Perl/v5.20.0
X-Powered-By: PHP/5.6.2
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Set-Cookie: PHPSESSID=f94dc2ac2aa5763c636f9e75365102b5; path=/
Content-Length: 820
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=UTF-8
测验进行时
在搜索框履行一个简略的JavaScript脚本,看看是否成功履行
好吧,我供认这看起来好像没有成功履行,那就翻开控制台看看过错信息吧。
从控制台信息中能够看到谷歌Chrome阻挠了这个脚本。别的,过错提示信息中指出服务器没有启用X-XSS-Protection或许Content-Security-Policy头。
咱们能够经过启用X-XSS-Protection或许Content-Security-Policy头进行过滤。
运用如下代码禁用维护
header("X-XSS-Protection: 0");
将上面的代码添加进源码
php
session_start();
session_regenerate_id();
header("X-XSS-Protection: 0");
if(!isset($_SESSION['admin_loggedin']))
{
header('Location: index.php');
}
if(isset($_GET['search']))
{
if(!empty($_GET['search']))
{
$text = $_GET['search'];
}
[1] [2] [3] 黑客接单网
今日本篇文章首要从智能机器人怎么拨打打扰电话和怎么针对性的取得指定集体的手机号,并给出了一点维护手机号的主张,期望能够帮得上你。 虽然新年新气象,但电子邮件进犯这种“陈旧”的技能并不会消声觅迹。 电子...
本文争夺以零基础的视点对整个发现和运用进程抽丝剥茧,并尽量具体论述这个进程中触及的技术细节。 本文触及的技术细节适用大疆精灵3代,2代和1代,不适用最新的精灵4代无人机。 由于行文时刻匆促,如有遗漏敬...
Metasploit的商业版本开始提供能导致远程代码执行的漏洞利用模块从理论上讲,远程桌面服务本身并不容易受到攻击,但一旦被攻击,其后果可是不堪设想的。 如果你还不知道该漏洞的威力,就请想一想2017...
在本系列文章的上集,咱们对现代Web运用架构中的躲藏体系以及躲藏服务进行了简略描述,并且介绍了本系列文章中所要运用的东西以及技能。在本系列文章的中集,咱们介绍了几种能够露出方针阻挠躲藏服务或躲藏体系的...
想要编写Burp的插件,有必要运用BurpSuite所供给的API接口,不然你是无法编程的,不管你运用的何种言语,Java and python。 20...
现在越来越多首要的web程序被发现和陈述存在XXE(XML External Entity attack)缝隙,比方说facebook、paypal等等。 举个比方,咱们扫一眼这些网站最近奖赏的缝隙,...