xss

白帽攻防录

某pc客户端app从xss到rce实战案例大家好，我是白帽攻防录的白帽akihi。今天分享的是之前挖某产品的pc客户端app的1点击rce漏洞案例。

Vue关于前端XSS漏洞修复方案本方案针对在线编辑表格功能中 “输入 <img src=x οnerrοr=confirm(1)> 即触发弹框” 的安全问题。该现象属于典型的存储型跨站脚本漏洞（Stored XSS）：用户提交的内容未经过滤或转义，被浏览器当作 HTML 解析，其中的事件属性（onerror）得以执行。本文从问题定位、Vue3 前端修复、Java 后端防护、CSP 兜底、验证方法五个层面，给出可直接落地的修复方案，并在最后给出实施优先级建议。

跨境数据猎手

跨境电商系统三大 Web 漏洞的防护：SQL 注入、XSS、CSRF跨境电商系统的敏感数据分布在三层：数据库里（证件、地址、支付流水）、浏览器里（会话 Cookie、令牌）、资金链路里（收款账户、退款指令）。这三类漏洞恰好各针对其中一层：

几分钟开防护，SQL和XSS注入全被护卫神挡住做网站运维的人大多都有过类似经历：刚补完一个SQL注入漏洞，没过几天又发现站点被XSS跨站脚本攻击盯上，改代码、打补丁、排查日志忙到深夜，转头又有新的注入攻击从参数缝隙钻进来。尤其是很多开源CMS、电商系统和博客程序，即便官方不断更新补丁，日常运营中依然会面临各类注入风险，稍有疏忽就可能导致数据泄露、页面被篡改，甚至服务器被黑客拿下。

其实防守也摸鱼

CTF Web 6 题全解 Writeup本 Writeup 整合本次 CTF 竞赛的全部 6 道 Web 题目：Cookie 篡改（web1）、SQL 注入（web2）、文件包含（web3）、反序列化（web4）、简易计算器（web5）、简单命令注入（web6）。每道题均包含题目背景、核心考点、完整操作步骤、关键 Payload 与最终 Flag，所有截图均嵌入原文对应位置。

今年下半年

【Spring Cloud】Spring Cloud Gateway 防 XSS / 防 CSRF 实现目标：在网关层统一做 XSS 清洗与 CSRF 来源校验，业务服务不必各自实现。两者都依赖 Spring Cloud Gateway 的 GlobalFilter 实现，配套一个必须先执行的 CacheBodyGlobalFilter（order = HIGHEST_PRECEDENCE），它把请求体缓存成"可重复读"，否则 XSS 过滤器重写 body 时会报"请求体已被订阅"。

程序员Sunday

XSS 和 CSRF 有什么区别？HttpOnly、SameSite 和 Token 分别防什么？XSS 是不可信输入被页面当作可执行内容，攻击者因此获得当前页面里的脚本能力。主要防护是按输出上下文正确编码，富文本使用可靠净化，并避免危险的动态执行入口，CSP 可作为额外防线。

白帽攻防录

SRC 挖洞：TanStack Start 服务器函数 XSS 深度复盘，CVE-2026-102989 怎么窃取用户会话作者 akihi（白帽攻防录讲师），某甲方网络安全工程师，合合 SRC 年度第一、腾讯 SRC 连续三年前十，单漏洞赏金 4w+，擅长 Web/App/PC 客户端漏洞挖掘。专注前端安全、React 应用安全、XSS 漏洞分析。本文基于公开 CVE 信息与技术原理深度复盘，供安全研究与防护参考。

DVWA(XSS Reflected/Stored High,CSRF Low)1.这个题目我们用最普通的JS指令获取Cookie的方法是行不通的，然后我们就要想到之前做到这样的题目还可以去联想其他方法，比如：

DVWA(SQL Injection-High，XSS Reflected-Medium，XSS Stored-Medium）1.这就是一道很经典的SQL注入的题目，我们根据这种题目的全流程来做一遍。首先是要确定这个注入点在哪里,确定注入成功，可以开始操作。

其实防守也摸鱼

网安自测题：掌握核心知识点的实用练习要求：请用自己的话回答，不要背定义。1. SQL 注入为什么能发生？攻击者利用它能做到哪三件事？发生原因：开发者在编写代码时，没有将用户输入的“数据”与 SQL 语句的“代码”进行严格的分离，直接把用户的输入拼接到了 SQL 查询语句中，导致数据库把用户输入的内容当成了可执行的 SQL 命令来运行。

DVWA(SQL注入-low，medium，XSS反射-low）1.已知漏洞点如图所示，我们的实验目标是获得这个表中的用户名和登录密码，所以我们首先要知道这个表的列数。我们先注入一下

登录态不是一枚令牌，而是一条可撤销的生命线一次典型的登录态故障，往往不是“Token 过期了”这么简单：页面同时发出十个请求，十个请求同时收到 401；其中一个请求先去刷新，另一个标签页却执行了登出；刷新接口返回后，旧状态又覆盖了新状态。最终，用户看到的是“明明退出了却还像登录着”，或“偶发地被踢下线”。

HTML 已经转义，为何仍有 XSS？Sharp srcdoc 漏洞中的第二次解析富文本编辑器需要保留链接、媒体和嵌入内容，安全规则因此从“允许哪些标签”扩展到“允许哪些属性及其语义”。某些属性容纳的是 URL，有些是 CSS，还有些直接容纳完整文档。若统一按文本处理，编码层面的正确性也可能掩盖上下文错误。

【XSS】校园墙提示：把心情写在墙上。管理员会不定时巡查留言点击进入留言板后发现可以留言。点进证据回收站后发现有个传参。

前端鉴权实战：Token 存哪、怎么刷新、怎么防 XSS 与 CSRF“localStorage 里存 token 有 XSS 风险，那放 cookie 就安全了”——错，CSRF 在等着。

【XSS】乌托邦·王的实验室描述：“你这家伙，上次居然真的能在 33 毫秒的夹缝里动动手脚……” 乌托邦·王咬着笔尖，眼底闪过一丝连她自己都没察觉的雀跃。她迅速转过身，指着面前全新部署的控制台。 “别以为赢了一次就能一直赢下去！既然底层架构拦不住你，那这次我就彻底把前端封死！全新的‘拼少少商城’评价中心部署了基于动态 Nonce 和 strict-dynamic 的极严苛内容安全策略。在这个纯净的 DOM 沙箱里，你的那些恶意脚本根本连执行的机会都不会有！” 一旁的三三甩了甩尾巴，凑到麦克风前：“喵呜……可是王大人昨天晚上对着您的攻

【XSS】这个知识库你需要申请输入script发现不给用，但可以用大小写进行绕过。我的申请里也是啥都没有盲 XSS 在其他的浏览器里执行，我们看不到结果，所以必须让它主动把数据 "寄" 出来。这里用的是webhook.site。

知识分享平台项目复习第二天：登录模块中的双令牌与刷新安全（2）复习日期：2026-09-14 当前主线：认证安全——登录闭环第一天复习登录模块时，我已经理解了 Access Token、Refresh Token、Redis jti 白名单、Rotation 和登出空窗期。继续讨论前端令牌存储时，又出现了一个新的问题：当前项目把 Access Token 和 Refresh Token 都保存在 localStorage 中，这样虽然实现简单，但需要考虑浏览器环境中的安全风险。