本文目录一览：
最近网上流行的XSS是什么意思
最近网上流行的XSS是小学生的恶称，骂小学生的。
一是指某些人的想法、思维方式、对事物的认知和思考能力如孩子般幼稚、单纯、天真。
二是特指某类相对于同龄的人，在游戏竞技或者社交网络中， 态度傲慢、技术水准较差、拒绝与队友沟通、独断专行、忽视团队合作、甚至喜欢恶语相向的网游玩家。
三是指对没有接触过社会或社会经验不足。
扩展资料：
1、小学生技术菜，爱骂人，玻璃心（说他一句就挂机送人头，不管说什么，比如：中路的你不要再送了，然后他就说“我就送”，接着就开始了。）小学生的心思就像星空，摸不着猜不透。
2、大喷子（网络中对喜欢肆意谩骂、地域黑、招黑、互黑等网友的一种广泛性定义。），不分青红皂白就开喷。
3、说话不经过大脑考虑，以自我为中心，可能是在家被宠惯了。
4、没有接触过社会大家庭或接触社会经验不足。比如：参加工作，你要是不让新人上，永远都是新人。这也是小学生。
文件上传漏洞有哪些挖掘思路?
文件上传漏洞作为获取服务器权限最快的方式，虽然相关资料很多，但很多人对上传校验方式、如何针对性绕过检测、哪种上传和解析的场景会产生危害等还是比较模糊。本文作一些阐述，然后补充一些除了上传webshell的其他非常规挖掘姿势，包括XSS、重定向、Dos、CSRF等等。
1、基础知识：
要深入了解文件上传，必须了解上传属性、常见文件的结构、图形处理函数等内容。
1） 报文特点：
观察文件上传报文的特点：
Header中Content-Type特征有二：
1.multipart/form-data（form表单的enctype属性，规定为二进制数据）
2.boundary字符串（作用为分隔符，以区分POST数据）
POST内容特征有五：
1.Content-Disposition：form-data
2. name：input表单名
3.filename：文件名
4.Content-Type：定义文件的类型和网页的编码，决定浏览器将以什么形式、什么编码读取这个文件；
5.boundary：Content-Type的值前面加了两个---
2） 常见校验规则
现存常用的上传校验规则无非下面几类：
1.客户端javascript校验（后缀名）
2.文件头content-type字段校验（image/gif）：附带参数
4.后缀名黑/白名单校验：扩展名
5.文件内容头校验：GIF89a
6.文件内容校验：文件信息，二次渲染
7.自定义正则校验
3）一个澄清
文件上传和文件解析是两个过程，即使我们上传的是php文件，但解析为图片，访问php文件会显示“图片无法显示”；或者我们上传的是jpg文件，但里面混有shell脚本，若被解析为php文件也会执行；又或者上传处没法绕过检测，只能上传jpg文件，但在其他功能处存在文件包含等功能，仍可执行成功。
还是回到安全的本质，上传是“输入”，那文件解析就是“输出”，任何漏洞挖掘都需要结合输入+输出。
2、绕过技巧：
这里汇总一些实战中较常用的绕过技巧：
1）后缀名黑名单
以下替换后缀也可以解析为shell：
php：.phtml,.phpt,.php3,.php3p
asp：.aspx，asmx，ashx，web.config
perl:.pl,.pm,.cgi,.lib
jsp:.jspx,.jsw,.jsv,.jspf
Coldfusion:.cfm,.cfml,.cfc,.dbm
另外可以配合操作系统的文件命名规则：
.php.,.php空格，.php:1.jpg,.php::$DATA等
这些后缀的文件会被windows系统自动去掉不符合规则符号后面的内容，从而只留下.php。
2）后缀名白名单
除了结合各种服务器解析特性，较常用的是Null Byte Injection空字节注入，插入空字节值的原因是某些应用程序服务器脚本语言使用c/c++库来检查文件名和内容。在C/C ++中，一行以/00结尾或称为NullByte。因此，只要解释器在字符串的末尾看到一个空字节，就会停止读取，认为它已经到达字符串的末尾。
如，我们将要上传的Happy.jpg的名称更改为Happy.phpA.jpg，然后上传文件，在Burp中捕获请求，切换到Hex视图。在字符串视图中找到文件名。查看相应的Hex表，并将41（'A'）替换为00（为空字节）。结果字符串变为Happy.php（空）.jpeg。由于php解释器在内部使用C语言库，它将停止读取Happy.php后的文件名，文件将保存为Happy.php。
另一种绕过白名单的方法是使用双后缀：shell.php.jpg。
如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
如何设计出一个安全的文件上传功能
这两天我们的老朋友PDP在BlackHat 08上做了一个关于GIFAR的演讲。和往常一样，PDP的东西基本上都很猥琐，这个也是。主题是关于是如何把GIF或者 JPG文件和JAR文件捆绑在一起，然后欺骗服务器以为是GIF或JPG文件，结果却是在客户端的JVM中执行JAR的例子。
他还举了些欺骗的例子，比如在office2007中，doc文件实际上就是zip格式了，里面都是些xml，那么他把jar文件打包在zip文件里，再把后缀改成doc，来达到欺骗的目的。
在这里是客户端的问题，我想到的则是其他的问题，比如安全上传。
根据以往的经验看来，我们可能会设计如下文件上传的安全规则：
1. 文件上传的目录设置为不可执行
2. 判断文件类型
3. 单独设置文件服务器的域名
4. 改写文件名，文件路径不可预测
第一点规则是显而易见的，是为了减小执行动态语言脚本的风险。如果被成功上传了一个webshell，但是不能执行，还是能够起到深度防御的作用。
第二点，在判断文件类型的时候，我们一般要求使用白名单，而不是黑名单，因为黑名单可能会列不全，还可能会造成一些bypass的风险。
比如以前老版本的 FCKEditor就出过这种问题，只做了黑名单的控制，最后被bypass。
而apache有个特性，是解析第一个“ . ”后的文件后缀作为文件类型，比如 fvck.php.rar.rar.rar 会被apache当作 fvck.php解析。 我最近看了下php的手册，在安装文档里，针对这个问题，专门有一个指导：
15. Tell Apache to parse certain extensions as PHP. For example, lets have
Apache parse .php files as PHP. Instead of only using the Apache AddType
directive, we want to avoid potentially dangerous uploads and created
files such as exploit.php.jpg from being executed as PHP. Using this
example, you could have any extension(s) parse as PHP by simply adding
them. Well add .phtml to demonstrate.
FilesMatch .php$
SetHandler application/x-httpd-php
/FilesMatch
IIS6也有这种类似的特性，即在文件夹名字为 fvck.asp 时(fvck可替换为任意值)，该文件夹下任何文件都会被当作asp来执行，
至今似乎也未见到微软有把这个特性当作bug来fix的迹象。
所以如果不熟悉这些webserver的特性，你可能会觉得漏洞来的如此神奇：我明明做了充分限制，为什么还是被“做俯卧撑”了？
在判断文件类型的时候，大多数程序都是使用的采用检查文件后缀的方法，这里主要需要注意的hacking trick是某些检查函数是否会以0字节作为结束的判断，以前动网就出过类似的漏洞，上传 fvck.jpg%00.asp即可绕过文件类型检查。
我也见过只检查文件头部的，这种也很好欺骗，构造一个合法的gif文件头部，然后将webshell贴在后面，在后缀合法的情况下，一样能够被浏览器解析：
GIF89a ?
? phpinfo(); ?
比较高级一点的是做更多的文件格式检查，比如检查图片里像素的长宽等，然后再对图片做一次压缩，这样出来的图片基本都变形了，有啥webshell也被破坏了。
而检查文件格式时候一般会用到一些网上已经封装好的类，在扫描文件格式方面还是比较有优势的。但是在检查大文件的时候效率显然是一个需要考虑的问题，很多程序员出于效率原因可能不太会愿意选择这种方式。
但是今天从PDP的这个绑定文件的猥琐方法看来，详细检查文件格式的方法还是非常有必要的，因为攻击者的目标可能不光是服务器，还是客户端，如果要对客户端有所保证，就必须要详细检查文件格式，使之落在白名单中。
第三点，单独设置文件服务器域名，也是一种针对客户端的保护。这样可能会避免许多跨域的问题。如果发生了XSS，攻击者可能还需要突破跨域的限制才能进一步扩大战果。再比如如果被上传了crossdomain.xml，可能就会导致flash的跨域问题，这些都是实实在在的风险。
第四点，改写文件名，随机文件路径。这是把风险藏起来，现在基本上尽职一点的程序员都会这么设计，这也是最大程度减小风险的非常切实有效的手段。
需要注意的是构造随机文件名或路径的算法需要足够“随机”，而不要从比如cookie之类的地方直接取一段hash出来。比较好的做法是在server上用类似random()一类的函数来生成，相信程序员们这点意识还是有的，不再赘述了。