• 安全 开发 自己想搭建一个靶场

    关注 码龄 粉丝数 原力等级 -- 被采纳 被点赞 采纳率 要努力啊啊啊！！ 2024-06-24 23:19 采纳率: 50% 浏览 9 首页/ 前端 / 安全 开发 自己想搭建一个靶场 htmlxssphp 有没有人帮忙看看，自己想写一个存储型xss评论区，结果插入JavaScript语句不会被当做JavaScript语句执行，代码如下 Document




    后端 query($sql2); $row = $query->fetch_all(); $list = []; foreach($row as $mes){ $user=$mes[0]; $message = $mes[1]; $dir = ['user'=>$user,'message'=>$message]; array_push($list,$dir); } $json_str = json_encode($list); header('Content-type:application/json'); echo $json_str; ?> 展开全部 收起 写回答 好问题 0 提建议 追加酬金 关注问题 微信扫一扫 点击复制链接 分享 邀请回答 编辑 收藏 删除 结题 收藏 举报 追加酬金 (90%的用户在追加酬金后获得了解决方案) 当前问题酬金 ¥ 0 (可追加 ¥500） ¥ 15¥ 20¥ 50¥ 100¥ 200 支付方式 扫码支付 二维码出错 点击刷新 支付金额 15 元 提供问题酬金的用户不参与问题酬金结算和分配 支付即为同意 《付费问题酬金结算规则》 结题 再想想 删除 再等等

    1条回答 默认 最新

    • 专家-赤兔[在线] 全栈领域优质创作者 2024-06-24 23:19
      关注

      引自免费微信小程序：皆我百晓生

      在您的HTML文件中，您尝试将用户输入的文本作为JavaScript函数调用来运行。这会导致一些潜在的安全风险，因为用户输入可能会包含恶意JavaScript代码。

      要解决这个问题，您可以采取以下几个步骤：

      步骤 1：去除JavaScript函数调用

      首先，删除window.onload中的JavaScript函数调用部分，以免引发安全问题。

      步骤 2：限制脚本类型

      确保仅允许HTML5 script 标签中的脚本加载。通过添加 type="text/javascript" 属性到所有

      后端文件示例：

      connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

$sql = "SELECT * FROM messages ORDER BY timestamp DESC LIMIT 10";
$result = $conn->query($sql);

while ($row = $result->fetch_assoc()) {
    echo "
      $row[username] - $row[message]
      ";
}

$conn->close();

?>

      总结：

      确保始终遵循最小权限原则，只提供必要的API给前端应用程序。对于任何可能的输入，都应进行严格的数据验证和过滤。同时，始终谨慎对待浏览器提供的功能，特别是那些涉及到动态网页渲染的功能。

      展开全部

      评论 编辑记录
      编辑
      预览

      报告相同问题？

    • 相关阅读:
      相机标定 ＞＞ 坐标系转换@内参、外参
      TopSAP天融信 LINUX客户端 CentOS版安装
      MySQL启动不了,无法启动MySQL服务解决技巧
      JavaScript入门——（6）对象
      软考 -- 计算机学习(2)
      react-router-dom v6版本实现Tabs路由缓存切换
      onnx_graphsurgeon修改onnx计算图
      大数据ElasticSearch篇--基本应用
      基础算法——二分图 -- 染色法判别二分图、最大匹配数（匈牙利算法）
      PDO中获取结果集
    • 原文地址：https://ask.csdn.net/questions/8123583