Web安全第10讲 - 存储型XSS测试、CSRF原理介绍、文件上传

Yauger

于 2020-03-05 12:20:32 发布

阅读量339

点赞数

CC 4.0 BY-SA版权

分类专栏： Web安全

本文详细讲解了Web安全中的存储型XSS测试，包括环境搭建、定向挖掘、黑名单审计及绕过方法。接着介绍了CSRF的原理、与XSS的区别、漏洞利用及防御措施。最后，深入探讨了文件上传漏洞，涵盖了绕过JS、MIME-Type、黑名单等各种验证的技巧和案例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、存储型XSS测试

1.下载ROCBOSS：https://www.rocboss.com/
2.按照文档进行安装

提示：

如果开启了服务器、网址输入127.0.0.1/pconline 出现以下报错，打开 PHPstudy --> 其他选项菜单
–> 软件设置 --> 允许目录列表

在这里插入图片描述

XSS漏洞可以存在于个人资料出,文章发表处或者留言评论处

私信位置没有被实体化,可以进行XSS,但是被黑名单过滤

查看system\util\Filter.php文件

没有过滤details和ontaggle