我是真“佩服”漏洞扫描厂商的漏洞划分

作者:vkvi 来源:千一网络(原创) 日期:2020-11-8

帮客户检查一份安全报告,其中提到了什么:跨站脚本漏洞、框架注入漏洞、链接注入漏洞……

其实就是一个问题——没有经 HtmlEncode,将提交的参数值直接输出到页面了。

当参数值是 <script>,被原样输出了,结论是:跨站脚本漏洞。

当参数值是 <iframe>,被原样输出了,结论是:框架注入漏洞。

当参数值是 <a>,被原样输出了,结论是:链接注入漏洞。

……

明明是一个漏洞,却被拆成 N 个漏洞。人多力量大吗?

也难怪,因为他们的安全建议,其中有一条是过滤掉:&、%、$、script、document 这些字符、单词,其实这些字符本没有罪,为什么要过滤他们?

相关文章
文章评论