问题标签 [websecurity]

我正在尝试学习 NodeJS 渗透测试过程我在 Nodejs 网站中发现了一个远程文件上传漏洞，我可以像在 PHP 或 ASPX 中那样在 NodeJS 中上传远程 shell 并执行命令吗？我可以从这个 shell 上传 NodeJS shell.js 并在服务器中执行 unix 命令吗？

我在我的项目中使用 WebSecurity，有时它会将当前用户 ID 显示为 -1（但该用户实际上是 Id = 1）

这是代码行

有谁知道为什么会这样？并不是说 WebSecurity.CurrentId 不会产生正确的结果，但它只产生了 2 次。在我的代码中一切正常，只是好奇为什么会这样。

这是我的数据库表记录的快照，它保存为-1

在我的应用程序中，使用 Qt5 完成，当我从互联网下载数据时，我想设置一个安全系统。首先，我想检查我正在下载多少字节，如果是这种情况，我会中止。我想设置下载字节的最大限制，如果超过则中止。

我正在使用QNetworkReply类。

首先我检查了size()函数，但是那时我已经收到了所有数据（请求完成），所以这还不够。

第二次检查，我查看了信号downloadProgress(qint64 bytesReceived, qint64 bytesTotal)。不过，如果 bytesReceived 太大，我可以检查并中止。但我不确定有两个动机：首先，如文档中所写

请注意，bytesReceived 和 bytesTotal 的值可能与 size()、通过 read() 或 readAll() 获得的总字节数或 header(ContentLengthHeader) 的值不同。原因是可能存在协议开销，或者在下载过程中可能会压缩数据。

第二，不知道什么时候能收到这个信号……也许来不及了……

最后，我检查了setReadBufferSize(qint64 size)。这似乎是一个很好的解决方案，但我不确定文档中的以下两行：首先，

一旦此缓冲区已满，QNetworkReply 将尝试停止从网络读取（即 bytesAvailable() 返回大小或更多）

试试是什么意思？我应该依靠它吗？

第二，

与 QAbstractSocket::setReadBufferSize() 不同，QNetworkReply 不能保证读取缓冲区大小的精度。也就是说，bytesAvailable() 可以返回超过大小。

所以，看来我不能依靠一个精确的限制来设定。

有人可以建议我实现它的最佳方法吗？

我一直在尝试了解 CSRF 攻击。我知道它使用来自有效站点会话的凭据，并使用来自另一个站点的会话信息向有效站点发出请求。

我想知道任何人如何访问会话信息（一个域的 cookie 无法从另一个域访问）。我想知道攻击者是如何欺骗服务器的。我希望看到一些现实生活场景的答案。

我正在尝试为我的论文评论网站制作一个通知系统，这是应该发生的基本流程：

这是我的表结构（MySQL）：

我遇到的问题是，一旦用户接受或拒绝审查请求，我无法弄清楚如何安全地更新关系表中的状态。我可以将接受/拒绝按钮的值设置为关系的 id 并使用 ajax 来更新该关系的状态，但这似乎并不安全，因为用户可以只使用检查元素更改值。

这是我所拥有的示例：
request.php

请求.inc.php

user43notifs.php

使用通过 PHPMyAdmin 设置的这两个表：
reviewer_relations通知

当用户单击通知的接受或拒绝按钮时， 我需要一种安全的方法来更新由通知表示的 reviewer_relation 的状态列。

问题是我无法找到一种方法将关系 id（或描述关系的 reviewer_id 和essay_id）与其通知相关联，而不将其直接放入通知的 HTML 中，因为它很容易被更改。

我不经常提出问题，因此非常感谢对问题的标题、书写或陈述方式的任何批评。如果需要任何其他信息，请询问。谢谢！

我对网络安全不太熟悉，但正在尝试开发基于 django 的应用程序。对于支付，我使用 Payu 支付网关，按照文档成功集成。

在付款网址中，我必须发布一些敏感信息，例如 -merchant_key, txnid连同用户信息，对于敏感数据，我使用隐藏字段，但我认为这不是一个好的选择，因为任何人都可以在源代码中看到我的敏感数据。

这是将数据发布到 url 的唯一方法吗，我尝试使用重定向发布数据，但由于一些安全问题，我们无法使用重定向发布数据 -请参阅此。

如果有人可以帮助理解这一点。

我现在正在处理一些 Angular 6 项目，我想知道反应式表单是否是用户安全的。我在想一个像下面这样的例子：

这种代码是否可以防止用户在 HTML 中单击元素并按下检查，然后从代码中删除“禁用”？

我们已经尝试过了，它可以轻松完成，我们可以操纵应该禁用的字段的值。如果自表单创建以来将此元素设置为禁用并且不应该更改，是否会再次验证或检查？

我现在无法在完全运行的应用程序上检查它，因为我们没有任何完整的提交实现，也没有足够的后端来做到这一点。我检查了角度文档，但没有发现任何相关内容。任何简单的解释或示例，如果它实际上是否有效（任何其他来源都会很棒）？提前致谢。

假设有一个 Web 服务器在某些路径下托管任意用户控制的内容——公共 IPFS 网关就是让我想到这个的例子。该服务器是否有可能阻止它所服务的页面在客户端上安装服务工作者（从而欺骗非用户控制路径的内容）？

我正在为我们的政府开发一个企业网络项目，但重要的阶段是它的安全性。我听说了一些关于保护我们网站的 HDIV。但我不知道如何将它与我们的 Web 应用程序配置/集成。如果有人可以提供帮助，我将非常感激。或向我推荐一些其他适用于 ASP.NET MVC 5 应用程序的Web 应用程序安全框架。

最近我了解了 phpmailer，我想知道我应该使用哪一个作为 SMTPSecure、tls 或 ssl？根据一些文章，https 需要 ssl 证书，而 Wikipedia 中写到 ssl 已被弃用。