Web 前端攻防 2014

禁止一切外鏈資源 外鏈會產生站外請求，因此可以被利用實施 CSRF 攻擊。   目前國內有大量路由器存在 CSRF 漏洞，其中相當部分用戶使用默認的管理賬號。通過外鏈圖片，即可發起對路由器 DNS 配置的修改，這將成爲國內互聯網最大的安全隱患。   案例演示 百度旅遊在富文本過濾時，未考慮標籤的 style 屬性，導致允許用戶自定義的 CSS。因此可以插入站外資源：   所有瀏覽該頁面的用戶，都能

>>阅读原文<<