外部图片引用绕过

小杨

@Ta 2020-08-19 9062点击

待审核

隐藏样式查看源码

回复列表(15|显示机器人聊天)

1

老子会游泳

@Ta / 2020-08-19 / 样 / 源

赞
本消息来自粉红少女版爱欧博客
2

小杨

@Ta / 2020-08-19 / 样 / 源
3

Monica

@Ta / 2020-08-19 / 样 / 源

-何以待你好偏不懂
5

嘎嘎鸟

@Ta / 2020-08-19 / 样 / 源

不明觉雕
夏普 SHV39(白色)
6

老虎会游泳

@Ta / 2020-08-20 / 样 / 源

@小杨，还可以用background。目前我不准备处理。
7

小杨

@Ta / 2020-08-20 / 样 / 源

@老虎会游泳，
8

读书顶个鸟用

@Ta / 2020-08-20 / 样 / 源

@老虎会游泳，会不会出现sid泄露的风险
小米Mix3
9

小杨

@Ta / 2020-08-20 / 样 / 源

@读书顶个鸟用，我试了，没有
10

hik

@Ta / 2020-08-20 / 样 / 源

https://hu60.cn/q.php/bbs.topic.93350.html
https://hu60.cn/q.php/bbs.topic.93186.html
老虎之前不是说设置了httponly嘛，所以获取cookie也是不行的吧
https://cway.top
11

胡椒舰长

@Ta / 2020-08-20 / 样 / 源

@hik，httponly在flash下无效，flash可以读取任意cookie
12

老虎会游泳

@Ta / 2020-08-20 / 样 / 源
对于URL中的sid，我的解决方法是这个：
```
// 防止URL中的sid泄露给外链站点
header('Referrer-Policy: origin-when-cross-origin');
```
https://github.com/hu60t/hu60wap6/blob/master/src/sub/csrf_protect.php#L3

Referrer-Policy的文档：
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Referrer-Policy

至于Cookie，Cookie不会发送给非同源域名，所以里面的sid也不会泄露给外站。
13

老虎会游泳

@Ta / 2020-08-20 / 样 / 源

@胡椒舰长，加载flash会使浏览器产生警告，除非用户手动操作，否则不会加载。而且加载flash这种操作只有网页插件可以做到。
14

寻梦xunm

@Ta / 2020-08-20 / 样 / 源

广告位一个草根博客网站https://76wp.cn奇乐网自制小尾巴
15

简单

@Ta / 2020-08-21 / 样 / 源

我还以为有xss漏洞
啦啦啦啦
16

小杨

@Ta / 2020-08-21 / 样 / 源

@简单，

添加新回复

回复需要登录。