freeBuf
行业服务
政 府
CNCERT CNNVD
会员体系（甲方） 会员体系（厂商） 产品名录 企业空间
知识大陆
首页
分类阅读

漏洞 工具 观点 安全管理 网络安全 工控安全

数据安全 企业安全 Web安全 无线安全 系统安全 终端安全

特色
报告
漏洞情报

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

xss

切换时间排序

精选

前端安全系列（一）：如何防止XSS攻击？
前端安全系列（一）：如何防止XSS攻击？

Web安全

在移动互联网时代，前端人员除了传统的 XSS、CSRF 等安全问题之外，又时常遭遇网络劫持、非法调用 Hybrid API 等新型安全问题。

FreeBuf_312572

2463001围观  · 44收藏  · 74喜欢 2018-10-09

经验分享 | XSS手工利用方式 金币
经验分享 | XSS手工利用方式

工具

前言在面对xss漏洞的时候，笔者通常会简单的找个xss平台，插入一段平台的xss代码，盗取个cookie，就自以为是的认为自己掌握了xss漏...

m09046105

1455746围观  · 43收藏  · 17喜欢 2018-01-14

ezXSS：一款功能强大的XSS盲测工具
ezXSS：一款功能强大的XSS盲测工具

工具

今天给大家介绍的是一款名叫ezXSS的漏洞测试工具，该工具可以轻松地帮助渗透测试人员完成Blind XSS漏洞的扫描任务。

Alpha_h4ck

967901围观  · 18收藏  · 9喜欢 2018-03-31

XSSer：自动化XSS漏洞检测及利用工具
XSSer：自动化XSS漏洞检测及利用工具

工具

跨站点“Scripter”（又名XSSer）是一个自动化框架，用于检测、利用以及报告基于Web应用程序中的XSS漏洞。

secist

2997866围观  · 22收藏  · 36喜欢 2018-06-07

APT攻击演练之捕鱼人的构想 金币
APT攻击演练之捕鱼人的构想

工具

通篇是一个模拟的思路架构，以及一些演示，朋友们有了点以后肯定能耍的比我⑥~

FreeBuf_303082

906635围观  · 23收藏 2018-07-10

SQLMAP深度解析及使用手册 金币
SQLMAP深度解析及使用手册

资讯

写这篇技术文有两个诱因，一是从国外买了一篇二十美刀的XSS文章，做了翻译，自古XSS和sql注入是倚天屠龙的对立统一关系，所以有朋友说想看一...

FreeBuf_252635

850843围观  · 70收藏  · 56喜欢 2019-03-09

看我如何绕过WAF的XSS检测机制
看我如何绕过WAF的XSS检测机制

Web安全

本文提出了一种绕过XSS安全机制的新型方法，这种技术由三个阶段组成：确定Payload结构、探测和混淆处理。

Alpha_h4ck

688797围观  · 42收藏  · 17喜欢 2019-04-23

挖洞经验 | 从XSS漏洞到四步CSRF利用实现账户劫持
挖洞经验 | 从XSS漏洞到四步CSRF利用实现账户劫持

漏洞

作者由一个XSS漏洞入手，发现了上传功能中存在的四步CSRF漏洞隐患，最终经过构造实现了目标应用的管理员账户劫持。

clouds

530091围观  · 11收藏 2019-05-28

Web攻击检测机器学习深度实践 原创
Web攻击检测机器学习深度实践

Web安全

传统的WAF，依赖规则和黑白名单的方式来进行Web攻击检测。该方式存在一定的局限性，过分依赖另一方面即使是已知的攻击类型，由于正则表达式天生...

FreeBuf_324843

931095围观  · 26收藏  · 35喜欢 2019-06-25

挖洞经验丨敏感信息泄露+IDOR+密码确认绕过=账户劫持
挖洞经验丨敏感信息泄露+IDOR+密码确认绕过=账户劫持

漏洞

网站存在不安全的访问控制措施，可以利用其导致的敏感信息泄露(auth_token) +密码重置限制绕过，以越权（IDOR）方式，实现网站任意...

clouds

488395围观  · 19收藏 2019-07-28

存储型XSS的攻防：不想做开发的黑客不是好黑客 金币
存储型XSS的攻防：不想做开发的黑客不是好黑客

漏洞

存储型XSS是通过对网页注入可执行代码且成功地被浏览器执行，达到攻击的目的，一般是注入一段javascript脚本。

ABKing

960771围观  · 31收藏  · 18喜欢 2019-11-17

Docem：向docx odt pptx等文件中嵌入XXE或XSS Payload
Docem：向docx odt pptx等文件中嵌入XXE或XSS Payload

工具

docem是一个用于向docx，odt，pptx等（任意包含大量xml文件的zip）文件中嵌入XXE/XSS Payload的工具。许多常见...

secist

457973围观  · 14收藏  · 6喜欢 2019-11-11

挖洞经验 | Firefox for iOS浏览器的二维码扫码XSS漏洞
挖洞经验 | Firefox for iOS浏览器的二维码扫码XSS漏洞

漏洞

在手机中，我们通常访问一个网站的做法是打开浏览器在地址栏中输入网站地址，一般来说这样的方法有些烦人，所以，有些网站访问对象通常也会生成一个二...

clouds

432560围观  · 8收藏 2020-01-06

漏洞组合拳之XSS+CSRF记录 原创
漏洞组合拳之XSS+CSRF记录

漏洞

今天学习一下 XSS + CSRF 组合拳，现将笔记记录如下。

TeamsSix

691255围观  · 11收藏  · 35喜欢 2020-02-04

2020年仍然有效的一些XSS Payload
2020年仍然有效的一些XSS Payload

Web安全

很多的XSS Cheat Sheet都是直接从其他地方粗制粘贴过来的，而且有的测试用例早在十年前就已经没用了，但是也没人去整理和清理。

Alpha_h4ck

690959围观  · 38收藏  · 48喜欢 2020-02-28

XSS扫描器成长记
XSS扫描器成长记

Web安全

为了实现自动刷SRC的目标，过年前就开始对w13scan的xss扫描功能进行优化，灵感注入xray所引起的基于语义的扫描技术。

知道创宇404实验室

456519围观  · 12收藏  · 71喜欢 2020-02-25

通过代码重用攻击绕过现代XSS防御
通过代码重用攻击绕过现代XSS防御

Web安全

XSS已有近二十年的历史了，也已经发展了许多机制来减轻漏洞的影响。我经常会误以为这些机制可以作为针对XSS的保护，今天，我们将了解为什么情况...

FreeBuf_25425

504311围观  · 6收藏  · 4喜欢 2020-05-05

挖洞经验 | 用多态图片实现谷歌学术网站（Google Scholar）XSS漏洞触发
挖洞经验 | 用多态图片实现谷歌学术网站（Google Scholar）XSS漏洞触发

漏洞

本文讲述了作者利用多态图片触发谷歌学术网站（ Google Scholar）XSS漏洞的测试，漏洞最终获得了谷歌$9400的奖励。

clouds

661362围观  · 121收藏  · 8喜欢 2020-06-01

挖洞经验 | 看我如何发现亚马逊网站的反射型XSS漏洞
挖洞经验 | 看我如何发现亚马逊网站的反射型XSS漏洞

Web安全

我发现了亚马逊的某个反射型XSS漏洞，来和大家作个分享。

clouds

704001围观  · 6收藏  · 17喜欢 2018-07-02

代码审计 | DedeCMS v 5.7 sp2 RemoveXSS bypass 原创
代码审计 | DedeCMS v 5.7 sp2 RemoveXSS bypass

漏洞

DedeCMS 简称“织梦CMS”，当前最新版为 5.7 sp2,最近又去挖了挖这个CMS,发现过滤XSS的RemoveXSS函数存在缺陷导...

奥村燐

607599围观  · 9收藏 2018-08-30

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序