我在HTML5 + Javascript中编写了一些代码,当用户在User中输入他的名字时,它会像" Hello <user>" 一样反映出来.现在这个脚本容易受到XSS(跨站点脚本)的攻击.
这是我的代码:
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8"/>
<title>Forms Welcome</title>
<script>
function write_name(){
var welcome_parra = document.getElementById('welcome');
var name = document.getElementById('name');
welcome_parra.innerHTML = "welcome " + name.value;
}
</script>
</head>
<body>
<p id="welcome"></p>
<form>
Username: <input type="text" name="username" maxlength="20" id="name"/>
<input type="button" value="done"onclick="write_name();">
</form>
/body>
</title>
现在,当我输入有效载荷时"><img src=x onerror=prompt(404)>,我得到了XSS的提示.那么我该如何纠正呢？
任何人都可以检查主机,尝试修补错误,并给我一个理由？
我编写了一个 Fine 机器人，每 150 秒发一次推文time.sleep(150)。我从 Twitter 制作了一个具有读/写权限的应用程序。但在发布 30 条推文后，Twitter 屏蔽了该应用程序。那么有什么办法可以绕过它。？或者有人尝试过 Twitter 中的机器人。他们是一些语法机器人，RT 的 twitter 机器人有近 11 万条推文，他们每 30 秒发一条推文。他们如何绕过帧限制保护
特定错误Restricted from performing write actions和代码停止。
我在Penetration Testing职业生涯中遇到过许多站点,其中站点具有严格的WAF,但有时可以通过缓冲区溢出逻辑来绕过.例如,考虑一个Query
http://example.com/something.php?id=-1 UNION SELECT 1,2,3,4,5,6--+
考虑弱势列直到7.所以现在,这应该打印一个易受攻击的列号作为输出,但它会得到错误.
现在,
http://example.com/something.php?id=-1 UNION%23AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA%0aselect 1,2,3,4,5,6--+
这实际上打印出Real列号,这意味着它已被Bypassed.我知道%23 =#和%0A =空格.但我不明白这是如何在幕后发挥作用的.我的意思是后端逻辑.
任何人都可以给我一个SQL结构示例,它可以导致这种类型的缓冲区溢出,考虑到后端是MYSQL的后端结构(数据类型)和$查询...
帮助将不胜感激