xss

11熱

1答えて

JSFiddleエラー：POSTリクエストを使用してください - NoScriptののXSS警告

後、私はJSFiddleの実行ボタンを押すと、時々、私はNoScriptアドオンはXSSの警告が表示され、フィドルではなく、私の変更を、このメッセージを示しています。 {"error": "Please use POST request"} をjsfiddleが使用するすべてのドメインのスクリプトを許可しました。私はまた、アンチXSS保護例外を作成したが、これは助けませんでした： ^http?

8熱

1答えて

ユーザー編集可能なHTML XSS保護（tumblrのようなもの）

私のサービスにはこのような機能があります。作成者はページを完全にカスタマイズできますが、ユーザーのCookieを盗むことはできません。 Tumblrのはそれでいくつかのトラブルがあったが、成功しhttp://www.riyazwalikar.com/2012/07/stored-persistent-xss-on-tumblr.html それらを解決だから私はなし節度を持つソリューションが必要

8熱

1答えて

javascriptでパスワードを保持する - セキュリティの影響？

ブラウザのjavascript変数にユーザーのパスワードを保持すると、ブラウザベースのクライアントの通常のセキュリティ上の脆弱性を超える特定のセキュリティ上の脆弱性が露呈しますか？簡単な例として、このスニペットを考えてみましょう - jsfiddle here <label for="password">Password</label> <input type="password" id="p

16熱

1答えて

NS_ERROR_FAILURE：Firefoxでエラーが発生しました

javascriptのXMLHttpRequestオブジェクトを使用して別のページ（同じサーバーまたはドメイン名ではない）にリクエストを送信しています。Firefoxでns_error_failureエラーが発生しましたが、Javascriptはオンラインで検索した後、それはFirefoxのXSSポリシーのためにあるようです。ドメイン間のリクエストは許可されません。これを回避して、JSをChro

9熱

2答えて

AntiForgeryTokenのライフタイムと複数の使用？

私は角のあるアプリケーションのajaxリクエストにantiforgerytokensを実装しようとしています。抗生物質には生涯はありますか？私がアプリをタッチしていなくても、ウェブブラウザーで長時間開いていれば、1か月間言う。古くなったトークンのためにajaxリクエストが失敗しますか？複数のコールでトークンを再利用することはできますか？ 1つのトークンをページのどこかに置いて、すべてのAjax

13熱

1答えて

XSSから保護するために、Bind（）またはEval（）は自動的にHtmlEncodeを実行しますか？

これが愚かな質問であれば私を許してください。私は明示的に答えを見つけることができませんでした。は、私はほとんど私のASPXページにバインド（）やeval（）を使用しない、代わりに次の構文を使用します。 <asp:Label id="lblFirstName" runat="server" Text='<%# Microsoft.Security.Application.AntiXss.HtmlE

16熱

1答えて

Spring MVCフレームワークでユーザ入力をサニタイズする

私はspring mvcフレームワークを使用してWebアプリケーションを開発していますが、XSSとSqlを避けるためにユーザ入力を浄化するための最良の方法や、注射攻撃ですか？

6熱

3答えて

OWASPのZAPツールの `value =" javascript：alert（1） "はなぜXSSの脆弱性と見なされますか？

OWASPのZAPの結果は、私のウェブサイトの脆弱な部分を削除するのに非常に役立ちました。しかし、私は単純に修正できない多くの結果を発見しました。たとえば、変数にjavascript:alert(1);を入れたgetパラメータの1つ。この変数はPHPによって隠し要素のvalue属性で出力されます。したがって、最終的なHTMLは次のようになります。 <input type="hidden" nam

5熱

1答えて

laravel 4 - サニタイズ入力:: get（）（e（）vs HTMLタグ:: laravel 4）

bladeテンプレートエンジンでは、{{ }}が出力を自動的にサニタイズするというWebのどこかを読んでいます。しかし、echoを消毒したい場合は、コントローラーからInput::getを消毒してください。それを行う最善の方法は何ですか（e()はhtmlentitiesまたはHTML::entitiesなど）。

9熱

2答えて

DOMDocumentはHTMLソースからスクリプトタグを削除します

私は@Alex's approach hereを使用して、組み込みのDOMDocumentを使用してHTML文書からスクリプトタグを削除しました。問題は、Javascriptのコンテンツを含むスクリプトタグがあり、その後に外部のJavascriptソースファイルにリンクする別のスクリプトタグがあり、すべてのスクリプトタグがHTMLから削除されていない場合です。 $result = ' <!doc