两个src案例分享

案例一

文前废话:某天正在刷着**社区的帖子,欣赏着漂亮的小姐姐,突然间评论区的一条评论引起了我的注意,类似于下面这样

这种评论在html标签中代码格式是<a>这是文字</a>这样的
同时评论区XSS漏洞的高发区,想着可能会有操作点

一、发布一个标题有js语句的贴子

二、复制这个帖子的分享连接到另一个帖子的评论区评论


然后刷新,发现有弹窗

三、查看网页源码,js语句已经写入

修复建议

  1. 对帖子的主题进行严格的验证或过滤
  2. 将引用的数据进行编码处理

案例二

废话:早就看那共享电车不爽了,10分钟收我1块!

一、配置好环境,对小程序进行抓包

本来想测测支付漏洞的,测了半天没有任何结果。突然间发现旁边有一个上传头像的功能

这不就来了吗

二、抓包上传一个我也不认识的文件

嗯!?!上传成功了!文件名也没改

问: 为什么我这有做?

  • 因为这样可以排查出是不是用的白名单

三、上传一个php文件

又上传成功了!

访问页面

啥也没有?

不对劲,10分得有15分不对劲!

四、上传一个图片马,后缀改成php

好好好!解析了,但是不知道为什么不显示php代码输出的内容!

于是…

放弃!

上课的时候发呆,突然间想到 既然我什么文件都可以上传,为什么不上传一个html文件呢?!

下课之后我飞一般的跑回了宿舍。

五、上传html文件

上传成功

访问页面

修复建议

  1. 对文件上传类型进行严格过滤

  2. 上台删除用户头像目录下的.php .html后缀文件

  3.  申明:本账号所分享内容仅用于网络安全技术讨论,切勿用于违法途径,所有渗透都需获取授权,违者后果自行承担,与本号及作者无关,请谨记守法。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/bicheng/30941.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

压测工具Jmeter使用-1

一、安装部署 依赖&#xff1a;Java windows安装 1.配置环境变量&#xff1a;新建JMETER_HOME系统环境变量&#xff0c;值设置为Jmeter的安装路径&#xff0c; D:\Program Files (x86)\Jemter\apache-jmeter 2.运行Jemeter&#xff1a;安装路径下&#xff0c;双击bin目录下的j…

深度解析:品牌推广的内容、方式与形式,你了解多少?

品牌推广是每个企业都需要重视的关键环节。有效的品牌推广不仅能提升品牌知名度&#xff0c;还能塑造品牌形象&#xff0c;进一步吸引并留住客户。 作为一名手工酸奶品牌的创始人&#xff0c;目前全国也复制了100多家门店&#xff0c;我来分享下品牌的推广内容、方式和形式&am…

接口联调测试工作总结

接口联调测试工作已经告一段落&#xff0c;现在总结如下: 1、首先接口联调测试的价值 2、接口联调要有工作思路 3、接口联调工作准备 4、接口联调测试数据设计 5、接口联调脚本研发 6、脚本联调测试 测试业务本身需要接口联调调用 独立接口正确&#xff0c;但有可能接口…

如何用Vue3打造一个令人惊叹的极坐标图

本文由ScriptEcho平台提供技术支持 项目地址&#xff1a;传送门 使用 Vue3-ApexCharts 绘制极地区域图 应用场景 极地区域图常用于展示具有周期性或分类性数据的分布情况&#xff0c;例如不同月份的销售额、不同年龄段的人口分布等。 基本功能 此代码使用 Vue3-ApexChart…

平安养老险黄山中支开展“反洗钱电影送下乡”活动

为不断增强反洗钱教育宣传的精准性和有效性&#xff0c;提升乡村群众的洗钱风险防范意识&#xff0c;6月18日&#xff0c;在中国人民银行黄山市分行的部署和指导下&#xff0c;平安养老保险股份有限公司&#xff08;以下简称“平安养老险”&#xff09;黄山中心支公司、平安人寿…

Python基础教程(二十六):对接MongoDB

&#x1f49d;&#x1f49d;&#x1f49d;首先&#xff0c;欢迎各位来到我的博客&#xff0c;很高兴能够在这里和您见面&#xff01;希望您在这里不仅可以有所收获&#xff0c;同时也能感受到一份轻松欢乐的氛围&#xff0c;祝你生活愉快&#xff01; &#x1f49d;&#x1f49…

COSMOSPANDA星际熊猫X 2024广州童博会|聚焦星潮,潮酷无限

中国国宝级原创潮玩IP COSMOSPANDA星际熊猫 震撼亮相2024广州童博会现场 聚焦星潮&#xff0c;潮酷无限 星际熊猫亮相展馆C位 3天展期、400㎡展位 超大型潮玩原创艺术装置 潮玩艺术&#xff0c;打造强烈视觉冲击 外贸中心周善青副主任代表中国第一展广交会前来巡馆 星际…

虚拟机配置桥接模式

背景 因为要打一些awd比赛,一些扫描工具什么的,要用到kali,就想着换成一个桥接模式 但是我看网上的一些文章任然没弄好,遇到了一些问题 前置小问题 每次点开虚拟网络编辑器的时候都没有vmnet0,但是点击更改的时候却有vmnet0 第一步: 点击更改设置 第二步: 把wmnet0删掉 …

代码随想三刷二叉树篇3

代码随想三刷二叉树篇3 404. 左叶子之和题目代码 513. 找树左下角的值题目代码 112. 路径总和题目代码 106. 从中序与后序遍历序列构造二叉树题目代码 654. 最大二叉树题目代码 404. 左叶子之和 题目 链接 代码 /*** Definition for a binary tree node.* public class Tre…

构建高效的大数据量延迟任务调度平台

目录 引言系统需求分析系统架构设计 总体架构任务调度模块任务存储模块任务执行模块 任务调度算法 时间轮算法优先级队列分布式锁 数据存储方案 关系型数据库NoSQL数据库混合存储方案 容错和高可用性 主从复制数据备份与恢复故障转移 性能优化 水平扩展缓存机制异步处理 监控与…

【代码随想录】【算法训练营】【第44天】 [322]零钱兑换 [279]完全平方数 [139]单词拆分

前言 思路及算法思维&#xff0c;指路 代码随想录。 题目来自 LeetCode。 day 44&#xff0c;周四&#xff0c;坚持不住了~ 题目详情 [322] 零钱兑换 题目描述 322 零钱兑换 解题思路 前提&#xff1a; 思路&#xff1a; 重点&#xff1a; 代码实现 C语言 [279] 完全…

Flink集群架构

在上一章节我们对flink有了一个基本的了解。从它的应用的场景以及它的一些基本的一些核心的一些概念。从本章节开始&#xff0c;我们对flink从它的一个集群的一个架构以及它的一个部署模式着手&#xff0c;去了解flink如何去部署在不同的这样的一个集群的一些资源管理器上面&am…

day64 图论 图论理论基础 深搜 广搜 98. 所有可达路径

图论理论基础 图的种类 整体上一般分为 有向图 和 无向图。 度 无向图中有几条边连接该节点&#xff0c;该节点就有几度。 在有向图中&#xff0c;每个节点有出度和入度。 出度&#xff1a;从该节点出发的边的个数。 入度&#xff1a;指向该节点边的个数。 连通性 在图…

(创新)基于VMD-CNN-BiLSTM的电力负荷预测—代码+数据

目录 一、主要内容&#xff1a; 二、运行效果&#xff1a; 三、VMD-BiLSTM负荷预测理论&#xff1a; 四、代码数据下载&#xff1a; 一、主要内容&#xff1a; 本代码结合变分模态分解( Variational Mode Decomposition&#xff0c;VMD) 和卷积神经网络(Convolutional neu…

视频去水印,视频去水印软件

有时候我们在网上下载了一些喜欢的视频&#xff0c;但是却发现上面有水印&#xff0c;影响观看体验。今天我就来教大家一个轻松去除视频水印的简单的方法。 一、使用专业视频编辑软件去水印 市面上有很多专业的视频编辑软件&#xff0c;如Adobe Premiere Pro&#xff0c;它们都…

代码大模型揭秘:从下载到推理,全流程体验StarCoder

选择模型 模型榜单 大模型的发展日新月异&#xff0c;性能强劲的大模型不断涌现&#xff0c;可以实时关注开源大模型的榜单&#xff0c;选择合适自己的大模型 开源大模型榜单 开源代码大模型榜单 模型网站 目前主流的下载模型的网站就是 huggingface 全球社区&#xff0c;…

react实现窗口悬浮框,可拖拽、折叠、滚动

1、效果如下 2、如下两个文件不需要修改 drag.js import React from "react"; import PropTypes from "prop-types";export default class DragM extends React.Component {static propTypes {children: PropTypes.element.isRequired};static defaultP…

Linux系统之配置Nginx反向代理

Linux系统之配置Nginx反向代理 一、Nginx介绍1.1 Nginx简介1.2 Nginx反向代理二、本次实践介绍2.1 本次实践简介2.2 本次实践环境规划三、基于端口配置反向代理3.1 安装nginx软件3.2 备份配置文件3.3 编辑nginx配置文件3.4 启动Nginx服务3.5 检查Nginx服务状态3.6 设置防火墙和…

Python - 各种计算器合集【附源码】

计算器合集 一&#xff1a;极简版计算器二&#xff1a;简易版计算器三&#xff1a;不简易的计算器四&#xff1a;还可以计算器 一&#xff1a;极简版计算器 运行效果&#xff1a; import tkinter as tk import tkinter.messagebox win tk.Tk() win.title("计算器")…

【AIOps】基于AIOps的故障根因分析及定位

基础知识&#xff1a; 基于机器学习的异常检测与分析技术 传统做法&#xff1a; 复杂运维场景下&#xff0c;如何实现分钟级的故障根因定位 结合大模型&#xff1a; 基于大语言模型的云故障根因分析&#xff5c;顶会EuroSys24论文