香港高防cdn_国内高防空间_秒解封-墨者安全-墨者盾
DDOS防御_CC防护_高防CDN服务器_【墨者安全】—墨者盾墨者盾—你的网站贴身保镖!

QQ:800185041
高防免费接入:400-0797-119

渠道合作:156 2527 6999

主页 > DDOS防御 > 香港高防cdn_国内高防空间_秒解封

香港高防cdn_国内高防空间_秒解封

小墨安全管家 2021-05-04 05:04 DDOS防御 89 ℃
DDoS防御

香港高防cdn_国内高防空间_秒解封

几周前,我描述了流行的跨站点足本漏洞把手.js图书馆在我的博客文章在那个地点。其他一些JavaScript库和应用程序也受到了阻碍,因为复制和粘贴代码以及开辟人员倾向于在项目中直截了当包含和分发JavaScript源文件。在遵循我们的Responsible披露政策并直截了当与响应的开辟人员子集合作以确保他们修复了漏洞之后,我如今公布了我最初发觉的库的完整列表以及对于原始漏洞的详细描述。虽然我们尽了最大努力与所有图书馆所有者联系,并给他们30天的时刻来解决那个咨询题(我们以为这段时刻关于开源项目来讲是合理的),但到目前为止,惟独16%的库得到了修复。研究结果正如我在上一篇文章中提到的,复制粘贴代码在JavaScript社区中很丰富。于是当我去寻觅使用了中XSS咨询题中易受攻击代码副本的库时把手.js图书馆,我没有失望。我在上面找到了35个JavaScript库NPMJS.org网站其中包含了一具handlebars易受攻击版本的硬拷贝,我在mavencentral上找到了2个Java库。关于Java库(jmustache和胡子.java),我发觉它们包含了胡子模板系统的独立实现,而不是易受攻击的文件本身,但与原始版本中的咨询题类似把手.jslibrary我发觉这些Java库在转义HTML时也缺少=字符。下面能够看到JavaScript中的转义字符(把手.js)与Java(jmustache和胡子.java)在易受攻击的库中发觉:Java实现看起来与JavaScript实现略有不同,但两者都没有在转义字符列表中包含=字符,所以具有相同的XSS漏洞。我们在2015年12月3日和2015年12月21日分别向所有JavaScript库和Java库的开辟人员私下透露了这一漏洞。在我们联系的37个人中,惟独12个人回复了,也算是讲68%的人全然没有回复。为了了解那个咨询题的广泛性,我统计了2016年1月所有受阻碍图书馆的下载总数,显示41498次下载。这是特别多易受攻击的软件。我要谢谢以下6个库修复了此咨询题并将其升级到最新版本把手.js:修复了JavaScript库姓名固定版本杨梅车把2.0.1款面板.js1.8.1条包普兰0.1.1节ember预编译0.2.11款修复Java库姓名固定版本com.samskivert网站:jmustache1.12com.github.spullara网站.胡子.java:编译器最新版本可从https://github.com/spullara/mustache.java/tree/master/compiler此外,Ruby问数据库发觉有2个Ruby gem包含相同的漏洞把手.js文件,如今已修复:姓名固定版本车把来源4.0.0款胡子js栏杆2.0.3款我们敦促这些库的所实用户升级到最新版本,以便从他们的项目中减轻那个咨询题。以下是十大最受欢迎的仍然易受攻击的库,上个月下载量均超过100次:姓名2016年1月下载尤伊34974车把运行时1569咕噜余烬车把1242需要把手插件1075塞莱克583装配492nginb公司277咕噜声静态车把209余烬预编译206含羞草灰烬车把97要查看仍然易受攻击的库的完整列表,请参阅此电子表格https://docs.google.com/spreadsheets/d/1dqH7FECg4b5t9VbqJrFAnAKkDiZQjVJ9YJ4WXdF85M4。由于该漏洞阻碍多种语言,所以我们在名目中为每种语言创建了一具工件——JavaScript、Ruby和Java。假如您是SourceClear用户,则已针对此咨询题提供了爱护。您能够使用我们的代理、终端应用程序、Maven或Gradle插件扫描并检测项目中的此漏洞。对于原始版本的完整技术摘要也能够在下面找到。摘要剪切和粘贴开源代码特别常见。当代码包含漏洞时,很多库都会受到阻碍,很多开辟人员会下载并使用易受攻击的代码。即使得到通知,DDoS防御,大多数作者也不大概修复易受攻击的库。技术报告Handlebars是一种模板语言,很多应用程序都使用它来生成HTML代码。手柄中的此漏洞是由于在将变量插入HTML时转义的字符集中缺少=。解释漏洞怎么阻碍库修复提交到车把库。修复程序将=字符添加到转义字符。这些字符被用作escapeChar想法的一部分,最后来是escapeExpression想法的一部分。在构造抽象语法树(AST)的过程中,handlebars编译器使用escapeExpression想法。检查表达式以确定是否应在lib/handlebars/compilers中的AST的MustacheStatement中对其举行转义/编译器.js.注:我们仍在讨论车把包。手柄是基于胡子模板语言和一些变量名称保持不变。假如需要对表达式举行转义,则使用位于lib/handlebars/compiler/javascript中的appendEscaped想法-编译器.js),它使用escapeExpression想法调用。除非设置了noEscape表达式,否则所有文本都将被转义。在将=字符添加到转义字符列表之前,假如程序使用手柄模板语言将用户操纵的值直截了当放入HTML标记的未加引号的属性中,例如Click me,则库大概会跨站点编写足本!。在那个地点,foo属性不大概正确转义。概念验证演练为了演示此漏洞,我们创建了一具使用手柄的小示例HTML应用程序。我们的示例从参数中猎取用户提供的输入,并将其插入上下文中的foo值中。为了利用此示例举行攻击,DDoS高防,DDoS防御,攻击者必须在另一具字符和空格后附加JavaScript。在没有空格的事情下,DDoS防御,handlebars假设整个消息是应该放入HTML的src标记中的。例如:假如攻击者输入测试网站onmouseover=alert("Gotchya!"),能够解释为点击我!在所以,当用户的鼠标在"clickme!"上滚动时执行JavaScript链接。尽管示例显示在警报框中转义了""字符,但扫瞄器仍将它们解释为引号字符,从而创建有效的JavaScript。然而,关于XSS有效负载的传递方式有一些限制。假如攻击者输入onmouseover=alert("Gotchya!")作为参数,这将被车把转义为点击我!在所以,不大概执行JavaScript,因为创建了无效的JavaScript。另外,假如在HTML属性中传递的JavaScript包含任何多余的空格,它们也会变成自个儿的标记并导致JavaScript无法执行。例如,参数测试网站onmouseover=alert("GOT YOU")将被解释为单击我!在一旦应用了修正,有效载荷测试网站onmouseover=alert("Gotchya!")会变成:如您所见,字符串被正确转义。


DDoS防御

当前位置:主页 > DDOS防御 > 香港高防cdn_国内高防空间_秒解封

标签列表
DDoS防御
网站分类
X
 

QQ客服

400-0797-119