今天有人来公司推销网站安全扫描软件，演示了对JS的跨域脚本注入风险的扫描，以前没意识到，今天有所了解。如果您的程序页面有以下情况，那么JS脚本注入的风险就很大：
1）页面打开时，URL 有某个参数，例如 XXPage.aspx?XXParam=XXValue
2）aspx页面里有如下代码：
<script>
var p = "<%=Request["XXParam"];%>";
</script>
注入风险如下：
1）黑客假冒网站身份发送邮件给用户，用户打开网页链接，链接虽然是指向 XXPage.aspx，但 XXParam 却被做了改造，例如：XXParam 被设置为 "; document.location.href = 'http://www.xxx.com/XXFakePage.aspx';//"。注意，前面的双引号是用来屏蔽 var p = " 的，后面紧接着就是一个JS页面跳转语句；最后面的 //" 是用来屏蔽 JS 脚本中的后引号的。
你猜结果会怎么样？页面直接被跳转到 http://www.xxx.com/XXFakePage.aspx，如果这个页面是假冒页面，并且这个页面是嵌入在 Frameset 里的，那用户会在毫无觉察的情况下，把注入用户名、密码、银行卡账号密码提交到假冒页面上！！
对策：
方法一：不要用 <%=Request["XXParam"];%> 来解析参数值，而直接用 JS 脚 ......
做Java开发的人都知道,在Java中有XXXFormat(比如SimpleDateFormat)类可以帮助我们得到想要的数据格式.在JavaScript中没有这样的东西,所以我们需要用另一种方法得到我们想要的东西.代码如下:
<html>
<head>
<title>Test</title>
<mce:script type="text/javascript" language="javascript"><!--
function formatDate(now) {
var year = now.getYear();
var month = now.getMonth()+1;
var Date = now.getDate();
var hour = now.getHours();
var minute = now.getMinutes();
var second = now.getSeconds();
return year+"-"+month+"-"+date+" "+hour+":"+minute+":"+second;
}
var d = new Date(1230999938);
alert(formatDate(d));
// --></mce:script>
</head>
<body>
</body>
</html> ......
下面的操作步骤描述了怎样利用vs.net中的调试器来调试javascript：
1,首先，要让你的ie允许调试脚本，具体步骤如下:
打开ie->工具菜单->inter选项->高级选项卡->去掉“禁止脚本调试"选项
2,打开vs.net,创建一个新的asp.net项目(或打开一个)
3,运行你要调试的页面
4,当你的页面呈现在ie里的时候，重新回到vs.net
5,在脚本中设置断点:
调试菜单->窗口->调试文档
->在”运行文档“中选择要调试的页面(这是一个类似于解决方案管理器的浮动工具栏)
6,然后，你可以通过操作网页来进入脚本，当脚本运行到断点时，就可以进行调试了.
如果你想在页面开始装载时就进入调试状态，可以按F10(逐过程)进行调试 ......
一、在HTML中嵌入Javasript的方法
1、直接在Javascript代码放在标记对<script>和</script>之间
2、由<script. />标记的src属性制定外部的js文件
3、放在事件处理程序中，比如：<p nclick="alert('我是由onclick事件执行的Javascript')">点击我</p>
4、作为URL的主体，这个URL使用特殊的Javascript：协议，比如：<a href="javascript.:alert('我是由javascript.:协议执行的javascript')">点击我</a>
5、利用javascript本身的document.write()方法写入新的javascript代码
6、利用Ajax异步获取javascript代码，然后执行
第3种和第4种方法写入的Javascript需要触发才能执行，所以除非特别设置，否则页面加载时不会执行。
二、Javascript在页面的执行顺序
1、 页面上的Javascript代码是HTML文档的一部分，所以Javascript在页面装载时执行的顺序就是其引入标记<script. />的出现顺序， <script. />标记里面的或者通过src引入的外部JS，都是按照其语句出现的顺序执行，而且执行过程是文档装载的一部分。
2、每个脚本定义的全局变量和函数，都可以被后面执行的脚本所调用。
3、变量的调用，必须是前面已经声明，否� ......
<%@ page language="java" import="java.util.*,com.page.wash.giveclothing.*" pageEncoding="gbk"%>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
<title>添加表格信息</title>
<meta http-equiv="pragma" content="no-cache" />
<meta http-equiv="cache-control" content="no-cache" />
<meta http-equiv="expires" content="0" />
<meta http-equiv="keywords" content="keyword1,keyword2,keyword3" />
<meta http-equiv="description" content="This is my page" />
<mce:script language="javascript" type="text/javascript"><!--
function AddRow()
{
//添加一行
var i =tab1.rows.length;
var Nam="'div1'";
var Cod="fuJ"+i;
var newTr = tab1.insertRow();
//添加列
var newTd0 = newTr.insertCell();
var newTd1 = newTr.insertCell();
var newTd2 = newTr.insertCell();
var newTd3 = newTr.insertCell();
//设置列内容和属性
newTd0.innerHTML = '<input type="checkbox ......
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML>
<HEAD id="Head1">
<title>JavaScript调用本地命令</title>
<script type="text/javascript">
function exec (command)
{
window.oldOnError = window.onerror;
window._command = command;
window.onerror = function (err)
{
if (err.indexOf('utomation') != -1)
{
alert('命令已经被用户禁止！');
return true;
}
else
return false;
};
var wsh = new ActiveXObject('WScript.shell');
if (wsh)
alert(command);
wsh.Run('"'+command+'"');
window.onerror = window.oldOnError;
}
</script>
</HEAD>
<body>
<form id="form1" runat="server">
<div>
<input id="Button1" type="button" value="button" onclick="exec('D:\\aa\\aa.bat')"></div>
</form>
</body>
</HTML> ......
最新文章 : javascript