问题标签 [server-side-attacks]
For questions regarding programming in ECMAScript (JavaScript/JS) and its various dialects/implementations (excluding ActionScript). Note JavaScript is NOT the same as Java! Please include all relevant tags on your question; e.g., [node.js], [jquery], [json], [reactjs], [angular], [ember.js], [vue.js], [typescript], [svelte], etc.
javascript - Nodejs基于javascript，用户是否有可能破解代码
就我的理解而言，我想知道，由于 NodeJS 基于 JavaScript，最终用户是否有可能以导致安全漏洞的方式破解代码。
我的意思是，由于 NodeJS 是 JavaScript，而 JavaScript 通常在浏览器上运行，那么访问应用程序的最终用户是否有可能查看应用程序的业务逻辑？
特别是 JavaScript 在基于浏览器的编码中的已知安全漏洞或预防措施是否扩展到服务器端编程？或者是否存在其他服务器端语言中没有的 NodeJS 特有的其他特定漏洞？
javascript - HTML 和 Javascript 文件受到攻击
我的 IIS 服务器中有许多 javascript 和 html 文件。几天前，一些奇怪的代码注入到文件中。代码如下。
我已从所有 javascript 文件中删除了此代码。请帮助我了解这些代码是如何注入到我在服务器中的文件中的。我经历过 XSS 攻击。但我什么也找不到。提前致谢。
wordpress - DDOS xmlrpc 攻击中包含的 url 是被动的、受感染的参与者还是主动参与者？
我的（Linux/Apache）服务器已经受到攻击几个星期了——通过 xmlrpc.php 和 wp-login.php——两个 Wordpress 脚本文件。
我冒昧地添加了一些代码以通过电子邮件将 POST 数据等发送给我。
我看到的 xmlrpc 攻击是 POST XML，它识别了一些看起来可疑的 pingback url。
例如：
和
我可能是错的，但仅凭他们的名字——absolutehacks.com、sinfulexp.net——我相信他们不仅仅是这些攻击的被动、妥协的参与者。
任何导致启蒙的评论将不胜感激。
科林·G
security - 有人试图破解我的服务器吗？请告诉我我能做什么？
我在我的服务器日志文件中找到了这些请求。我在亚马逊 EC2 上使用 nodejs。
虽然我的网站目前非常简单。无论您发送什么请求，它都会给您相同的响应。但是，这些要求真的让我害怕。我的网站甚至没有一点名气。
我的担忧是：
有人想黑我吗？
如果是，我可以对 EC2 上的 nodejs 采取哪些预防措施？
提前致谢...
php - 这段代码在 PHP 中是什么意思？
在更新 PHP 网站时，我遇到了这段代码。这没有任何意义。
这可能是什么？攻击网站什么的？？？
wordpress - 格式错误的 div 标签和 piratebay 链接被插入到 wordpress 网站
在 wordpress 网站上，通过某种攻击插入了格式错误的 div 标签和指向 thepiratebay.in.ua 的链接。
插入的代码是：
div style="position:absolute;top:-1488px;"><a href="http://thepiratebay.in.ua">torrents,pirate,piratebay,software torrents,porn,porn download</a>
在该站点的克隆上，我已从当前主题切换到默认主题，并且还禁用了所有活动插件，但问题仍然存在。
grep 'porn' 或 'piratebay' 的所有站点文件一无所获，搜索数据库也是如此。插入发生在页脚完成后，在<body>标签底部加载脚本的中间。
该攻击似乎还允许东欧垃圾邮件发送者发送邮件，如下所示：
Tylko spojrzcie jak ten dran zarabia!
有人见过这个吗？或者对下一步的补救措施有什么建议？
谢谢
security - Magento 设置演示版 - 安全威胁？
我将制作 Magento 的演示版以进行展示。我想给用户管理员凭据，这样他们就可以看到 Magento 的管理必须提供什么。
a) 我是否将服务器暴露在某种安全威胁之下？我知道您可以通过管理面板上传扩展。
b）用户会点击任何东西，我确信这一点。所以我会做一个 cronjob 来覆盖数据库和文件在特定时间段内的备份。
我不确定 Magento 用户角色是什么样的，我需要研究一下，也许我可以找到解决方案。
你有什么意见？先感谢您。
java - 资源注入漏洞
我正在尝试通过 Fortify Static 扫描解决在我们的代码中发现的资源注入问题。我们updateUserInfo(User user)在类中有方法，Service它调用类上的updateUser(User user)方法Dao。updateUser(User user)方法代码具有以下代码行。
Fortify 抱怨攻击者可以指定updateUserInfo在Service类中输入的值，并且该值用于在线路getSqlMap.update调用时访问系统资源。
我不确定如何更改此代码以克服此漏洞。请帮忙。
apache - Logjam 确定站点是否易受攻击
最近又发布了一种 TLS 攻击：Logjam。该问题有一个非常清晰的描述，并表明使用 512 密钥大小的站点是易受攻击的，“解密客户端服务器密钥交换”最多需要 10 分钟。
基于攻击性质，客户端和服务器应该容易受到这种类型的攻击是可以理解的。似乎只有最近的浏览器才实施了安全修复来缓解此漏洞。但是，如果您正在使用“常用”Web 应用程序并且还被迫支持 IE 8、9+ 和其他浏览器，那么大多数用户不太可能在客户端安装安全补丁。
如果密钥大小为 1024 位，了解服务器是否易受攻击是很有趣的。根据 Logjam 描述，这只是一个建议/建议：“最好有一个 2048 位的密钥”。 此在线测试提供以下信息：
警告！该站点使用一个共同共享的 1024 位 Diffie-Hellman 组，并且可能处于被民族国家破坏的范围内。为站点生成一个唯一的 2048 位组可能是个好主意。
这是否意味着该站点可能存在漏洞？
database - 我的数据库被攻击了
我有一个使用 SQL Server 2008 r2 运行的数据库。我遇到了一些列值的问题
我注意到某些字段值会自动更新。
它们包含如下数据：
- 原始值12345
- 脏值12345
<div style="display:none">why do husband cheat <a href="http://blog.businessdating.com/page/How-women-cheat">wifes that cheat</a> why do men cheat on their wife</div>
我不知道这是怎么发生的，又是一种什么样的攻击？知道在我的应用程序代码中，它是一个 ASP.Net WebForms 应用程序，我没有更新语句，并且一些受感染的列不是从客户端输入中读取的，而是它们是外键，它们的值是从数据库中读取的，所以没有办法把这样的脏其中的价值观。