Web安全测试
本话题发布Web安全测试相关的问答文章和技术分享，将持续更新，为您推荐了22篇问答，访问即可查看更多精彩内容。
-
1
回答
55浏览
AppScan 扫出 Vue 项目 XSS 漏洞怎么修复？
最近用 AppScan 扫我们 Vue 项目，报了个反射型 XSS 高危漏洞，说是在路由参数没过滤。但我明明用的是 Vue Router，参数都是通过 this.$route.query 拿的，页面上...
-
1
回答
25浏览
AppScan扫出XSS漏洞但前端已转义，怎么办？
我们前端用React开发，所有用户输入都通过JSX自动转义了，比如{userInput}这种写法。但AppScan还是报反射型XSS漏洞，说在URL参数里注入脚本能触发。我本地测试根本复现不了，是不是...
-
2
回答
33浏览
白盒测试时如何检测前端代码中的XSS漏洞？
我在做项目的安全自查，听说白盒测试要查XSS，但不太清楚具体该看哪些地方。比如用户输入的内容在页面上展示时，是不是只要用了innerHTML就有风险？ 我试过用ESLint的security插件，但它...
-
1
回答
49浏览
前端做漏洞扫描时怎么处理XSS误报？
我们用 OWASP ZAP 扫描项目，结果报了一堆 XSS 风险，但很多其实是安全的。比如有个搜索框输入 <script> 后页面确实会显示出来，但我们已经用 DOMPurify 处理过了...
-
2
回答
47浏览
前端代码审查时如何判断CSS是否存在安全风险？
最近在做Web安全Code Review，看到团队有人写了下面这段CSS，我不确定会不会有安全隐患。CSS一般不执行逻辑，但听说某些写法可能被用来做信息探测或者配合XSS攻击？ .user-card ...
-
1
回答
37浏览
OWASP ZAP 扫描时为什么总报 CSRF 漏洞？
我在用 OWASP ZAP 扫描一个内部管理后台，每次扫描都提示存在 CSRF 漏洞，但我前端已经加了 X-CSRF-Token 请求头，后端也做了校验，为啥还会报？ 尝试过在 ZAP 的“上下文”里...
-
1
回答
27浏览
灰盒测试时如何验证Vue组件中的API调用是否安全？
我在做灰盒测试，手上有部分源码和访问权限，但不确定该怎么检查Vue组件里调用的后端接口有没有安全风险。比如下面这个组件直接把用户输入拼接到URL里发请求，会不会有漏洞？ <template>...
-
2
回答
33浏览
XSStrike扫描时为什么总报错“Connection refused”？
我用XSStrike测试本地开发的前端页面，一运行就报“Connection refused”，明明服务已经启动了啊。我试过python3 xsstrike.py -u http://localhos...
-
2
回答
34浏览
前端项目如何集成SAST工具做自动化安全扫描？
我们团队最近在推DevSecOps，要求前端CI流程里加入静态代码扫描。但我试了几个SAST工具，要么不支持JS，要么配置太复杂，连npm run scan都跑不通。 有没有人用过靠谱的前端SAST方...
-
1
回答
44浏览
Nikto扫描本地开发环境报错怎么解决？
我在用Nikto扫描本地Vue项目时，执行 nikto -h http://localhost:8080 总是提示连接被拒绝，明明dev server已经跑起来了，端口也确认没被占用，这是啥原因？ 尝...
-
1
回答
45浏览
Nikto扫描报出Vue前端有安全漏洞，但我没写后端啊？
我用Nikto扫了本地开发的Vue项目，结果报了一堆“OSVDB”和“CGI”漏洞，可我这明明只是个纯前端静态页面，连后端接口都还没接，怎么会有这些漏洞？是不是误报？ 我试过把项目build后用htt...
-
2
回答
40浏览
Nmap扫描时怎么排除特定端口不被检测？
我用 Nmap 扫描本地开发环境，但总把 3000 和 8080 端口也扫进去，其实这些是前端 dev server，不想被当成漏洞。试过 nmap -p- --exclude-ports 3000,...
-
2
回答
29浏览
Burp Suite 拦截不到本地前端请求怎么办？
我用的是 React 开发，本地启动 http://localhost:3000，浏览器也配置了 Burp 的代理（127.0.0.1:8080），但 Burp 完全没抓到任何请求。试过关闭 HTTP...
-
2
回答
72浏览
W3af扫描React表单时没发现CSRF漏洞，但手动测试存在缺陷
我在用W3af扫描公司新开发的React应用时，发现所有表单请求都没有检测到CSRF漏洞，但手动测试时明显能用跨站请求伪造数据。代码里确实没做CSRF令牌验证，这是为什么啊？ 比如这个用户资料更新组件...
-
2
回答
48浏览
前端构建时集成SAST工具总是报错怎么办？
在Webpack项目里尝试用ESLint插件集成SAST工具做静态扫描，配置了eslint-plugin-security后，构建时提示Cannot read properties of undefi...
-
2
回答
25浏览
Nikto扫描时为什么忽略我指定的8080端口？
我用Nikto扫描本地Apache服务器时，明明加了-port 80,8080参数，但结果只显示扫描了80端口。手动curl 8080能访问，防火墙也没问题，这是什么原因？ 命令是这样写的： nikt...
-
2
回答
30浏览
Metasploit执行msfconsole时提示未找到Ruby，但Ruby已安装怎么办？
刚安装完Metasploit框架，运行msfconsole时提示Ruby不是内部或外部命令，但之前用ruby -v明明显示版本是3.0.2了。已经把Ruby路径加到环境变量里了，重启终端也没用。 尝试...
-
2
回答
91浏览
XSStrike扫描时参数注入失败，该怎么排查？
用XSStrike测试登录接口时，参数注入总是显示"未触发"。我按文档配置了--forms参数，但扫描完后报告里全是绿色勾勾，实际用Burp发包却能抓到XSS漏洞。 尝试过手动指定payload文件：...
-
2
回答
93浏览
W3af扫描时插件加载失败怎么办？
用w3af_console扫描目标时老是报错"Plugin not found"，折腾了半天没解决。按照官方文档装了所有依赖，运行w3af_console后选择插件扫描就直接报错了。 错误提示是：Tr...
-
2
回答
61浏览
Nikto扫描后显示“403 Forbidden”错误，怎么解决？
用Nikto扫描本地测试服务器时，为什么总提示403 Forbidden？ 我刚用XAMPP搭了个本地测试环境，想用Nikto检测漏洞。运行命令nikto -h http://localhost:80...
