Zaid：现在我们来谈谈如何防止XSS漏洞｡
这些漏洞之所以会发生,
是因为每当用户在文本框或参数中输入内容时,
该输入内容就会显示在HTML中｡
因此, 它被视为页面的一部分, 因此,
如果其中有JavaScript,
代码就会被执行｡
因此, 要防止这种利用,
最好的办法是尽量减少使用不可信的输入｡
因此, 每当用户输入一些内容或任何时候从参数输入一些内容时,
都要尽量减少这些内容｡
另外, 要确保总是对HTML页面中将要显示或使用的内容进行转义,
因为XSS不仅可以注入到页面中显示内容的位置, 而且还可以注入到HTML页面中某些元素的参数中｡
所以我所说的转义就是将这些字符转换成HTML中的字符｡
您可以使用脚本执行此操作,
也可以使用您自己的脚本执行此操作｡
现在, 让我来告诉你这是怎么发生的｡
现在我在这里我的易受攻击的网页,
我们正在使用,
我会去存储之一｡
显然, 您可以看到,
每次我们单击它时, XSS都会运行｡
让我们来检查一下这个元素｡
现在, 这个元素就是我们注入警报的地方｡
如果我们右键单击并继续检查元素,
它将向我们显示此页面的HTML,
或此处突出显示的此特定元素的HTML｡
所以我要把这个放大｡
如果我们看这里, 你会发现我们有一个名字,
那就是扎伊德｡
然后是另一个输入, 也就是消息, 它是一个脚本,
脚本执行什么, 它执行警报练习｡
所以这正是我们在做评论时注入的内容｡
所以每次我们在这个页面上,
这段代码都会被执行, 所以我们需要做的是, 我们需要确保每次用户输入内容时, 内容都会显示在页面上,
或者内容会在元素中的某个地方被使用｡
这里的ID或者H,
ID只是, 例如, div的一个参数,
它不会显示出来, 你永远看不到这个ID, 但是这个可以注入,
也可以注入.
因此, 黑客实际上可以尝试向参数中注入内容,
他们可以尝试向图像属性中注入内容,
例如, 他们可以创建一个图像, 然后向源代码或URL中注入内容｡
这只是一个例子｡
每次用户输入的内容都将在页面的任何位置使用,
因此即使您看不到它, 如果您通常看不到它,
您也需要确保对该输入进行转义, 并确保它不包含任何代码, 如果它包含任何代码, 它将被转换为等效代码,
该代码将不会运行｡
所以它被转换成了HTTP的等价物,
所以一旦你跳过它, 你就能在消息中看到它｡
因此, 您看到的消息是脚本alert
XSS, 但它永远不会被执行｡
当目标人员运行此脚本时, 它将永远不会在目标人员上实际执行｡
现在作为一个用户, 要防止自己被利用到XSS攻击中去｡
现在, 您看到的URL可能看起来像一个受信任网站的URL,
例如, 假设您在一家公司工作,
公司中有一个XSS, 您登录到公司, 代码在您身上执行,
那么您自己就无能为力了｡
但是, 你要小心｡
所以对于BeEF, 我们看到为了利用漏洞,
我们展示了一个假的更新｡
因此, 如果您总是收到更新消息,
请确保您确实访问了提供该应用程序的网站｡
所以如果Firefox说有更新,
去Firefox的网站看看是否真的有更新｡
如果有的话, 从那个网站下载,
不要从你收到的通知中下载｡
此外, 请确保您是从HTTPS网站下载｡
一旦你下载了它, 你就可以用我们以前见过的同样的方法来检查它,
以确保它没有后门或任何东西｡
您还可以检查md5sum,
以确保文件在下载时没有被操作｡
当你在BeEF的时候, 我们做了假的Facebook登录,
所以你可以做的是, 每当你被告知你被注销时, 请重新登录, 再次,
忽略它｡
去脸谱网｡ com, 确保它是通过HTTPS,
然后登录到Facebook｡
所以, 总是要小心弹出的通知告诉你你需要做的事情｡
永远保持警惕, 永远不要相信他们｡