DNS over HTTPS
（缩写：）是一种经由HTTPS协议进行的远程域名系统（DNS）解析协议。该方法旨在防止网络中间人对DNS数据进行的窃听和操纵，利用HTTPS协议加密DoH客户端和DoH服务器（递归解析器）之间的数据，以提高用户的隐私和安全性。DNS的查询和响应会隐于其他HTTPS流量中。 在2018年3月，Google和Mozilla基金會就开始测试基于HTTPS的DNS版本。2018年9月5日，Mozilla基金会发布的Firefox 62正式版加入…
标签：#Web安全漏洞
共 15 篇文章
Cookie
HTTP cookie，简称cookie，又稱数码存根、小型文字檔案、「網站／瀏覽＋魔餅／魔片」等，是浏览网站时由网络服务器创建并由网页浏览器存放在用户计算机或其他设备的小文本文件。Cookie使Web服务器能在用户的设备存储状态信息（如添加到在线商店购物车中的商品）或跟踪用户的浏览活动（如点击特定按钮、登录或记录历史）。 历史 “cookie”一词由网络浏览器程序员盧·蒙特利创造，源自“magic cookie”（1979年就已经出现…
中國人民解放軍61398部隊
{{Infobox Military Unit |unit_name= 中国人民解放军61398部队 |image = PLASSF.svg |caption = 中国人民解放军战略支-{}-援部队标志 |dates= |country= |allegiance= |command_structure = 中国人民解放军战略支-{}-援部队 |type= |role= |size= |garrison= 上海市浦东新区高桥镇 江苏省昆山…
跨站请求伪造
跨站请求伪造（），也被称为one-click attack或者session riding，通常缩写为CSRF或者XSRF，是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨網站指令碼（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF利用的是网站对用户网页浏览器的信任。 攻擊的細節 跨站請求攻擊，簡單地說，是攻擊者通過一些技術手段欺騙用戶的瀏覽器去訪問一個自己曾經認證過的網站並執行一些操作（如發郵件，…
DNS重新绑定攻击
DNS重新绑定是计算机攻击的一种形式。 在这种攻击中，恶意网页会导致访问者运行客户端脚本，攻击网络上其他地方的计算机。 从理论上讲，同源策略可防止发生这种情况：客户端脚本只能访问为脚本提供服务的同一主机上的内容。 比较域名是实施此策略的重要部分，因此DNS重新绑定通过滥用域名系统（DNS）来绕过这种保护。 这种攻击可以通过让受害者的网络浏览器访问专用IP地址的机器并将结果返回给攻击者来破坏专用网络。 它也可以用于使用受害者机器发送垃圾邮…
贵宾犬漏洞
贵宾犬漏洞（又称 POODLE 漏洞，其全称为“降级加密密文填塞攻击”）是一种利用互联网及安全软件客户端回滚 SSL3.0 加密算法的行为的中间人攻击。在漏洞被成功利用的情况下，攻击者平均只需要发送 256 次 SSL3.0 请求即可破解 1 字节加密信息。来自谷歌安全团队的 Bodo Möller, Thai Duong 和 Krzysztof Kotowicz 发现了该漏洞；并于 2014 年 10 月 14 日（报告中标为 201…
XSS蠕虫
XSS蠕虫（cross site scripting worm）是一种跨站病毒，通常由脚本语言Javascript写成，它借由网站访问者传播。 历史 历史第一个XSS蠕虫是针对网站Myspace的Samy，它在20小时内感染了100万个账户，作者Samy Kamkar之后被起诉。 新浪微博 见对新浪微博的争议#XSS漏洞 百度贴吧 2013年5月19日，百度贴吧转帖功能再度出现xss漏洞，大量贴吧内充斥接近满版面，包含代码getScri…
OWASP
{{Infobox organization | name = OWASP | logo = | logo_size = 104px | type = 501(c)(3) 非營利組織 | founded_date = 2001 | founder = Mark Curphey OWASP基金会是一家成立于2004年的501(c)(3)非营利组织（美国），支持OWASP基础设施和项目。自2011年以来，OWASP还以OWASP Europ…
Self-XSS
Self-XSS（），又稱「Self型跨站脚本攻击」，是一种可以获得受害者网络账号的社会工程学攻击手段。在Self-XSS攻击中，受害者无意中在浏览器里运行了恶意代码，通过一种称为跨站脚本的漏洞将个人信息暴露给攻击者。 }} 外部链接 *
降级攻击
降级攻击（）是一种对计算机系统或通讯协议的攻击。在降级攻击中，攻击者故意使系统放弃新式、安全性高的工作方式（如加密连接），反而使用为向下兼容而准备的老式、安全性差的工作方式（如明文通讯）。例如，在OpenSSL中曾经存在一个缺陷，从而使攻击者能够让SSL/TLS服务器与客户端建立老版本TLS连接，尽管双方事实上支持新版本。这样的攻击是最常见的降级攻击。 降级攻击常被用于中间人攻击，将加密通讯的安全性大幅削弱，得以进行原本不可能做到的攻击…
XML外部实体攻击
XML外部实体攻击是一种针对解析XML格式应用程序的攻击类型之一。此类攻击发生在配置不当的XML解析器处理指向外部实体的文档时，可能会导致敏感文件泄露、拒绝服务攻击、服务器端请求伪造、端口扫描（解析器所在域）和其他系统影响。 简介 XML 1.0标准定义了XML文档结构，同时定义了实体的概念，即某种类型的存储单元。外部一般解析实体或外部参数解析实体通常简称为外部实体，攻击者可声明特定来访问服务器本地或远程内容。XML处理器假设系统标识符…
跨網站指令碼
跨網站指令碼（，通常簡稱為：XSS）是一種網站應用程式的安全漏洞攻擊，是代码注入的一种。它允許惡意使用者將程式碼注入到網頁上，其他使用者在觀看網頁時就會受到影響。這類攻擊通常包含了HTML以及使用者端腳本語言。 XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java，VBScript，Acti…
漏洞
漏洞或脆弱性（），是指计算机系统安全方面的缺陷，使得系统或其应用数据的保密性、完整性、可用性、访问控制等面临威胁。 在《GB/T 25069-2010 信息安全技术 术语》，将脆弱性定义为“资产中能被威胁所利用的弱点”。 熟悉：使用常見、著名的程式，軟體，作業系統及硬體，若沒有經常更新系統，容易被攻擊者找到缺陷進行攻擊. 互連：越來越多的實體連接、特權、通訊埠、通訊協定以及服務，每一項都會增加系統被攻擊的可能性。 密碼管理缺陷：電腦使用…
目录遍历
目录遍历（英文：），又名路径遍历（英文：）是一种利用网站的安全验证缺陷或用户请求验证缺陷（如传递特定字符串至文件应用程序接口）来列出服务器目录的漏洞利用方式。 此攻击手段的目的是利用存在缺陷的应用程序来获得目标文件系统上的非授权访问权限。与利用程序漏洞的手段相比，这一手段缺乏安全性（因为程序运行逻辑正确）。 目录遍历在英文世界里又名../ 攻击（Dot dot slash attack）、目录攀登（Directory climbing）…
点击劫持
点击劫持（）是一种在网页中将恶意代码等隐藏在看似无害的内容（如按钮）之下，并诱使用户点击的手段。该术语最早由雷米亚·格罗斯曼（）与罗伯特·汉森（）于2008年提出。这种行为又被称为界面伪装（）。 点击劫持可以被看成是责任混淆问题（）的一个实例。 举例来说，如用户收到一封包含一段视频的电子邮件，但其中的“播放”按钮并不会真正播放视频，而是链入一购物网站。这样当用户试图“播放视频”时，实际是被诱骗而进入了一个购物网站。 通过在客户端安装No…