本篇文章给大家通过原理的原因分析了node应用的timing-attack安全漏洞问题，有兴趣的朋友阅读参考下。前言假如你在项目中遇到过 eslint 报错 Potential timing attack ，不可忽视！这是一个涉及到安全的问题：时序攻击。eslint 报错原因首先eslint引入了一个叫做eslint-plugin-security的插件，这个插件有助于识别出潜在的安全问题，但同时也会产生误报的问题，附上插件 源码地址。首先这个插件会判断本次的运算符是否为 ==、===、...
今天用360检测网站，提示高危]使用存在漏洞的JQuery版本，说是这个文件有问题jquery.min.js,发现网站:使用存在漏洞的JQuery版本，黑客可以利用这个漏洞入侵您的网站。这里脚本之家小编就为大家分享一下解决方法，希望能帮助到大家。然后到360检测查看了解决办法但是感觉并没有什么用，而方案二的解决办法又要加群，博主感觉这是不是360的一个圈套，就看你们跳还是不跳了。博主这里放出2个解决办法，都能够解决。第一种：这种只能够...
今天发现360给我发送了一封邮件，发现网站:使用存在漏洞的JQuery版本，黑客可以利用这个漏洞入侵您的网站。本文就和大家分享一下360提示[高危]使用存在漏洞的JQuery版本解决办法。然后到360检测查看了解决办法但是感觉并没有什么用，而方案二的解决办法又要加群，博主感觉这是不是360的一个圈套，就看你们跳还是不跳了。博主这里放出2个解决办法，都能够解决。第一种：这种只能够瞒着360，但漏洞依然存在，那就是删除JQ的版本号，3...
前言随着 Web2.0 的发展以及 Ajax 框架的普及，富客户端 Web 应用（Rich Internet Applications，RIA）日益增多，越来越多的逻辑已经开始从服务器端转移至客户端，这些逻辑通常都是使用 JavaScript 语言所编写。但遗憾的是，目前开发人员普遍不太关注 JavaScript 代码的安全性。据 IBM X-Force 2011 年中期趋势报告揭示，世界五百强的网站及常见知名网站中有 40% 存在 JavaScript 安全漏洞。本文将结合代码向读者展示常见 JavaScri...
又一个Windows Live的@live.com域名注册漏洞被发现,现在我们只要通过简单的一段JS代码就可以给Windows Live的注册界面添加@live.com地址,让人惊讶的是,硬塞进去的地址竟然可以成功注册到帐号!又是一次极好的机会,大家快来一起上吧! Update:更新代码,提供更多域名,包括live.cn方法简单：1、进入这个页面：http://get.live.com/getlive/overview2、点击”立即注册“按钮3、在地址栏粘贴以下文件中的代码，并回车： 代码如下:javascri...
呵呵,只是证明下漏洞存在 exp如下,保存为vbs,自己下个程序测试自己吧 'From 剑心 '============================================================================ '使用说明： ' 在命令提示符下： ' cscript.exe lbsblog.vbs 要攻击的网站的博客路径 有效的文章id 要破解的博客用户密码 '如： ' cscript.exe lbsblog.vbs www.xxxx.com/blog/ 1 1 ' by loveshell '=============================================================...
一、is_numberic函数简介国内一部分CMS程序里面有用到过is_numberic函数，我们先看看这个函数的结构bool is_numeric (mixed $var)如果 var 是数字和数字字符串则返回 TRUE，否则返回 FALSE。二、函数是否安全接下来我们来看个例子，说明这个函数是否安全。 代码如下:$s = is_numeric($_GET[s])?$_GET[s]:0;$sql="insert into test(type)values($s);"; //是 values($s) 不是values($s)mysql_query($sql);上面这个片段程序是判断参数...
这篇文章主要介绍了Node.js中安全调用系统命令的方法（避免注入安全漏洞），本章讲解的一般是连接字符串会时出的安全问题情况，需要的朋友可以参考下。在这篇文章中，我们将学习正确使用Node.js调用系统命令的方法，以避免常见的命令行注入漏洞。我们经常使用的调用命令的方法是最简单的child_process.exec。它有很一个简单的使用模式;通过传入一段字符串命令，并把一个错误或命令处理结果回传至回调函数中。这里是你通过child_pro...
在网上搜资料找到一个大神写的shell修复bash漏洞脚本,觉得很不错,拖到我blog里来共享给大家.脚本内容:代码如下: #/bin/bash #Author Alex Fang. Updates may apply soon. clear echo "Press anykey to continue..." $anykey ; read anykey echo "BBBBBBBBBBBAAAAAAAAAAAAAAAAAAAASSSSSSSSSSSSSSSSSSHHHHHHHHHHHHHHHHHHHH!" echo "ShellShockFixer v0.1 by Alex Fang. Liscence: GNU GPLv2" echo "################################...
前言 随着 Web2.0 的发展以及 Ajax 框架的普及，富客户端 Web 应用（Rich Internet Applications，RIA）日益增多，越来越多的逻辑已经开始从服务器端转移至客户端，这些逻辑通常都是使用 JavaScript 语言所编写。但遗憾的是，目前开发人员普遍不太关注 JavaScript 代码的安全性。据 IBM X-Force 2011 年中期趋势报告揭示，世界五百强的网站及常见知名网站中有 40% 存在 JavaScript 安全漏洞。本文将结合代码向读者展示常见 JavaScr...
前言假如你在项目中遇到过 eslint 报错 Potential timing attack ，不可忽视！这是一个涉及到安全的问题：时序攻击。 eslint 报错原因 首先eslint引入了一个叫做eslint-plugin-security的插件，这个插件有助于识别出潜在的安全问题，但同时也会产生误报的问题，附上插件 源码地址。 var keywords = (( + [password,secret,api,apiKey,token,auth,pass,hash].join()|() + ));var re = new RegExp(^ + keywords + $, im);function co...
0x00 前言 早上看Sec-news安全文摘的时候，发现腾讯安全应急响应中心发表了一篇文章，Node.js CVE-2017-14849 漏洞分析（https://security.tencent.com/index.php/blog/msg/121），然后想着复现，学习学习，就有了这篇文章。 0x01 漏洞简介 CVE(http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-14849)上面的描述是这样的: Node.js 8.5.0 before 8.6.0 allows remote attackers to access unintended files, because a cha...
今天发现360给我发送了一封邮件，发现网站:使用存在漏洞的JQuery版本，黑客可以利用这个漏洞入侵您的网站。 然后到360检测查看了解决办法但是感觉并没有什么用，而方案二的解决办法又要加群，博主感觉这是不是360的一个圈套，就看你们跳还是不跳了。 博主这里放出2个解决办法，都能够解决。 第一种：这种只能够瞒着360，但漏洞依然存在，那就是删除JQ的版本号，360还没那么智能，也只能通过注释信息查询版本号，并不能扫描JQ内容来...
概述 根据国外媒体的最新报道，谷歌公司的安全工程师Eduardo Vela在jQuery Mobile框架中发现了一个安全漏洞，这个漏洞将会让 所有使用了jQuery Mobile的网站暴露于跨站脚本攻击风险之下 。 jQuery Mobile项目（jQuery框架中的一个组件）是一个基于HTML5的开发框架，在它的帮助下，开发者可以设计出能够适配目前主流移动设备和桌面系统的响应式Web站点以及应用程序。实际上，jQuery Mobile不仅可以为主流移动平台提供jQuery的核心库...
初次接触： 初次接触JavaScript注入漏洞后，如果不对这种漏洞的作用机理仔细分析并提取出其发生的某种模式，你就不能做到快速的发现项目中可能存在的所有注入风险并在代码中防范。 发生模式： JavaScript注入漏洞能发生作用主要依赖两个关键的动作，一个是用户要能从界面中注入JavaScript到系统的内存或者后台存储系统中；二是系统中存在一些UI会展示用户注入的数据。 比如注入漏洞最常见的就是发生在各种类型的名字中，比如系统中...