XSS漏洞扫描经验分享
2024-09-05 02:58:49
关于XSS漏洞扫描,现成的工具有不少,例如paros、Acunetix等等,最近一个项目用扫描工具没有扫出漏洞,但还是被合作方找出了几个漏洞。对方找出的漏洞位置是一些通过javascript、ajax方式向后台发出的请求,这些用工具都没有扫描出来,看来找漏洞还是需要工具加手工结合起来。
怎么样用手工的方法来找,我们用了比较原始的方法,人手从后台代码里面找出所有会接收前台请求的地方,把请求的路径、参数等等全部列出来,然后在逐条检查是否存在漏洞。
当然,因为能够接收请求的位置太多了,全部用人工方式逐条检查的话太辛苦了,所以我们还是用了一些自己编写小工具的来帮忙。
工具的原理就是先用一个excel记录每个请求的controller、action、param和value,然后用程序读取并拼接成一个请求,发送到服务器获取返回信息。之后通过字符比较或者正则检查返回信息中是否包含请求中的一些关键字,如果有,则表示可能存在漏洞,需要进一步排查。
通过使用小工具可以过滤掉大量安全的请求,少量可能存在漏洞的请求的再用人工方法检查,大大减少了工作量。而整个测试的难点就在于找齐所有的请求,这个需要开发人员帮忙,也是一项非常费时费力的工作。
工具的代码上传到了github: https://github.com/pascocai/url-scan
后来想想,其实使用JMeter也应该也可以做到,具体还没有操作,待以后实操可行之后再补充具体做法。
最新文章
- JS事件-让网页交互
- https/相对路径,绝对路径
- TYVJ P1045 &;&;洛谷 1388 最大的算式 Label:dp
- 黑马程序员——JAVA基础之List集合
- JavaScript随笔记(一)基础概念以及变量类型
- HDU 4786 Fibonacci Tree (2013成都1006题) 最小生成树+斐波那契
- AOJ 0525 穷举
- 【转】使用adb命令对手机进行截屏(截图)保存到电脑,SDCard
- 细说并发编程-TPL
- 轻量应用服务器安装 phpMyAdmin
- 通过url动态获取图片大小方法总结
- python用win32pdh模块查看进程信息
- MySQL/MariaDB 版本选择
- Python删除文件及进行文件夹压缩
- Speech and Language Processing, NLP 处理
- YUM软件包额外扩展了解项
- /usr/local/ssl/lib/libssl.a: error adding symbols: Bad value
- Object.defineProperty()属性设置介绍
- e641. 使一个组件成为拖放目标
- maven项目目录结构 学习笔记
热门文章
- Swift语言学习(四)字符串与Array等集合的使用
- CSS自定义文件上传按钮样式,兼容主流浏览器
- html5--6-57 阶段练习6-折叠导航栏
- hdu2552
- Ntrip通讯协议1.0
- BZOJ_4276_[ONTAK2015]Bajtman i Okrągły Robin_线段树优化建图+最大费用最大流
- vue中minxin---小记
- vs 2015 community Blend和devenv启动的区别
- 在Entity Framework 中实现继承关系映射到数据库表
- Win10应用设计的那些事儿