当前位置: 首页 > 图文教程 > 网络编程 > Javascript > 不要小看注释掉的JS 引起的安全问题

Javascript
javascript 响应键盘特定按键(只响应数字键)
javascript indexOf方法、lastIndexOf 方法和substring 方法
javascript parseInt 函数分析(转)
javascript Split方法,indexOf方法、lastIndexOf 方法和substring 方法
JavaScript 面向对象入门精简篇
JS中==与===操作符的比较
JavaScript indexOf忽略大小写
dwr spring的集成实现代码
DWR Ext 加载数据
JavaScript 计算当天是本年本月的第几周
Js 获取当前日期时间及其它操作实现代码
javascript multibox 全选
JS array 数组详解
javascript 对象定义方法 简单易学
javascript 补零 函数集合
div scroll始终在最底部的实现代码
javascript eval()用法
javascript 打印页面代码
JAVASCRIPT THIS详解 面向对象
javascript 页面跳转方法集合

No. « 129 130 131 132 »

技术文章搜索

关键字

Javascript 中的 不要小看注释掉的JS 引起的安全问题

出处:互联网   整理: 软晨网（RuanChen.com）   发布: 2009-09-12   浏览: 302 ::
收藏到网摘: n/a

HTTP Response Splitting 攻击主要说明的是两个问题 一个是header插入问题。
另一个是\r\n问题。
我们来看这样一段代码：
1. test
2. <script>
3. //alert('<%=request.getParameter("username")%>');
4. </script>
大家都能看到，这好像有个漏洞，但是已经被补上了，注释掉了。
那既然注释掉了，就不该有问题了么？
不是的。
再看这个URL
http://localhost/index.jsp?username=kxlzx%0d%0a%0d%0aalert('kxlzx
很无奈吧？
生成了如下代码：
test
<script>
//alert('kxlzx
alert('kxlzx ');
</script>
注释掉的JS，也执行了。
所以，不要把没用的代码，注释掉的JS等，扔到html里。
代码审核是个细活，任何疏漏之处都值得注意。