搜索

[306] 2019-08-21_代码审计之JSP使用HTML注释

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-08-21_代码审计之JSP使用HTML注释 代 码 审 计 之 J S P 使 用 H T M L 注 释 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 8 - 2 1 0 x 0 0 ： ： 介 绍 介 绍   这 个 问 题 很 简 单 ， 甚 至 不 算 问 题 ， 可 以 把 它 归 类 到 代 码 质 量 类 。 该 问 题 顾 名 思 义 ， 即 在 J S P 文 件 中 使 用 了 H T M L 注 释 。 J S P 的 注 释 为 < % - -   - - % > ， H T M L 注 释 为 < ! - -   - - > 。 而 J S P 中 除 了 本 身 注 释 外 ， H T M L 注 释 同 样 有 效 。   但 也 有 区 别 之 分 ， 区 别 在 于 ， J S P 本 身 的 注 释 内 容 我 们 右 键 源 码 是 查 看 不 到 的 ， 而 J S P 中 使 用 H T M L 注 释 后 ， 右 键 源 码 可 查 看 注 释 内 容 。 危 害 点 和 信 息 泄 露 属 于 一 类 ， 恶 意 攻 击 者 可 通 过 注 释 搜 集 有 关 程 序 的 信 息 。 0 x 0 1 ： 试 验 ： 试 验   以 上 介 绍 已 经 说 明 清 楚 ， 这 里 我 们 直 接 贴 图 看 对 比 ， J S P 使 用 H T M L 注 释 的 源 码 及 效 果 图 如 下 。 < % @   p a g e   l a n g u a g e = " j a v a "   c o n t e n t T y p e = " t e x t / h t m l ;   c h a r s e t = U T F - 8 "   p a g e E n c o d i n g = " U T F - 8 " % > < ! D O C T Y P E   h t m l   P U B L I C   " - / / W 3 C / / D T D   H T M L   4 . 0 1   T r a n s i t i o n a l / / E N "   " h t t p : / / w w w . w 3 . o r g / T R / h t m l 4 / l o o s e . d t d " > < h t m l > < h e a d > < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = U T F - 8 " > < t i t l e > I n s e r t   t i t l e   h e r e < / t i t l e > < / h e a d > < b o d y >     < ! - -   接 受 t e s t 的 值 并 输 出   - - >     < % = r e q u e s t . g e t P a r a m e t e r ( " t e s t " )   % > < / b o d y > < / h t m l >
J S P 文 件 使 用 J S P 注 释 时 的 代 码 及 效 果 图 如 下 。 0 x 0 2 ： 总 结 ： 总 结   J S P 使 用 H T M L 注 释 不 属 于 漏 洞 级 别 问 题 ， 只 能 算 代 码 质 量 不 够 好 ， 在 开 发 过 程 还 是 建 议 J S P 中 不 要 使 用 H T M L 注 释 ， 毕 竟 过 < % @   p a g e   l a n g u a g e = " j a v a "   c o n t e n t T y p e = " t e x t / h t m l ;   c h a r s e t = U T F - 8 "   p a g e E n c o d i n g = " U T F - 8 " % > < ! D O C T Y P E   h t m l   P U B L I C   " - / / W 3 C / / D T D   H T M L   4 . 0 1   T r a n s i t i o n a l / / E N "   " h t t p : / / w w w . w 3 . o r g / T R / h t m l 4 / l o o s e . d t d " > < h t m l > < h e a d > < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = U T F - 8 " > < t i t l e > I n s e r t   t i t l e   h e r e < / t i t l e > < / h e a d > < b o d y >     < % - -   接 受 t e s t 的 值 并 输 出   - - % >     < % = r e q u e s t . g e t P a r a m e t e r ( " t e s t " )   % > < / b o d y > < / h t m l >
多 的 注 释 泄 露 ， 有 利 于 信 息 的 搜 集 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理