注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

白帽子安全漏洞

IT 计算机网络信息安全 漏洞分享 Information Security

 
 
 

日志

 
 
 
 

纽约时报所有2013年前旧文章XSS漏洞  

2014-11-17 14:48:05|  分类: XSS |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
纽约时报所有2013年前旧文章XSS漏洞
 

跨站脚本攻击(Cross Site Scripting),为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意攻击用户的特殊目的。




Morning Dew On A Web Desktop Background






新加坡南洋理工大学物理和数学科学学院博士生王晶(Wang Jing)发现,纽约时报所有2013年前的文章都可已用来攻击。“2013年前所有包含“PRINT”,”SINGLE PAGE”, “Page” 和“NEXT PAGE” 按钮的文章都有此漏洞“。

当被问及漏洞的重要性时,王晶回答“对XSS攻击而言,非常重要的一件事情是如何说服受害者点击URL。因为所有的旧文章都可已用来攻击,所有用户非常容易遭受攻击“。

研究者王发布了一个POC视频和博客说明:


王同时说明,纽约时报现在采取了一种更安全的机制,这种机制不再遭受XSS攻击。


发布在2013年前的文章是否重要?
问前还是非常严重的,因为所有 纽约时报2013年前的文章还在被大量引用。 据此产生的流量也非常大。所以此漏洞及易使纽约时报用户和其他合作者遭受攻击。
 

XSS 攻击后果?
漏洞的危害取决于攻击代码的威力,攻击代码也不局限于script。 用户可以被窃取个人资料,重定向到其他页面等。

 
 
 


参考文章:
http://securityrelated.blogspot.sg/2014/10/new-york-times-nytimescom-page-design.html?view=mosaic
  评论这张
 
阅读(83)| 评论(0)
推荐 转载

历史上的今天

在LOFTER的更多文章

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017