3、米斯特白帽子WEB安全攻防培训-第三方风险-[域名商、IDC、外域JS]

第三方风险

域名商:提供域名

whois

www.hi-ourlife.com 万网

 

危害:域名劫持

 

欺骗:前提:知道你的用户名、有一台服务器(空间) 提交工单(用户名:123 132 漏洞:修改用户名)、客服(QQ(找理由 邮件伪造)、手机号[任意显(手机号:110 你的:120 110=120)]

 

IDC

 

IDC:任意密码找回

服务器:通用的弱口令 administrator 密码

 

外域JS加载了别的地方的JS文件

 

JS后门

 

html模块:discuzWordPresszblog

 

js文件:优化的功能js文件

 

js文件:xss平台的代码

 

用户的cookie全部收入我的xss平台之中

 

css

 

http://www.2cto.com/article/201310/250428.html

你可能感兴趣的:(米斯特白帽子安全攻防培训)