安全专家，开发人员或者商业从业人员都明白像SQL注入这样高风险的漏洞的危害。例如，需要注入到存在SQL注入漏洞的应用程序中的xp_cmdshell，它就可以被用来示范攻击者如何用SQL注入的方法，从运行微软SQL Server的主机上获得command prompt。此类范例的影响是看得见的，并且这些漏洞的危害也很明显。
而跨站点脚本（XSS）就会麻烦的多，安全分析师很难给出看得见的范例来清楚说明该漏洞可能造成的后果。通常安全分析师通过注入像alert('xss')的JAVAScript代码来说明XSS的危害，该代码能够导致应用程序显示带有“xss”字样的弹出窗口。从技术角度来说，这种范例确实证明XSS漏洞的存在性，但是它没有真实地反映XSS漏洞的危害性。为了找到自动给出XSS范例的工具或方法，我访问了BeEF。它的站点声称：BeEF是浏览器发掘平台。它的目的就是提供简单的可集成的结构来实时示范浏览器以及XSS的危害。 这种模块结构主要是用BeEF中现存的智能使模块开发成为一个很简单的过程。一些基本的功能有Keylogging以及Clipboard Theft。
BeEF是个基于PHP的网络应用，它捕捉那些有XSS应用漏洞的用户浏览器的请求。在你的机器上运行BeEF，然后用它发现受XSS影响，而通过XSS请求你的主机（有BeEF）上的资源的应用程序。一旦受害者的浏览器请求BeEF资源，BeEF将发出警告并允许你注入JavaScript代码，执行JavaScript端口扫描（例如受害浏览器将发起扫描：在受害浏览器可能访问的内网环境中进行的端口扫描酒有可能被攻击者利用）等等。这个Flash指南很好地示范了BeEF。
同时，我的一个好朋友也在从事跟BeEF类似的工程。如果他决定对外公开一个可用的版本，我将在此发布。
=============================================
评论Feed: http://www.lziss.com/blog/feed.asp?q=comment&id=321
引用链接: http://www.lziss.com/blog/trackback.asp?id=321
而跨站点脚本（XSS）就会麻烦的多，安全分析师很难给出看得见的范例来清楚说明该漏洞可能造成的后果。通常安全分析师通过注入像alert('xss')的JAVAScript代码来说明XSS的危害，该代码能够导致应用程序显示带有“xss”字样的弹出窗口。从技术角度来说，这种范例确实证明XSS漏洞的存在性，但是它没有真实地反映XSS漏洞的危害性。为了找到自动给出XSS范例的工具或方法，我访问了BeEF。它的站点声称：BeEF是浏览器发掘平台。它的目的就是提供简单的可集成的结构来实时示范浏览器以及XSS的危害。 这种模块结构主要是用BeEF中现存的智能使模块开发成为一个很简单的过程。一些基本的功能有Keylogging以及Clipboard Theft。
BeEF是个基于PHP的网络应用，它捕捉那些有XSS应用漏洞的用户浏览器的请求。在你的机器上运行BeEF，然后用它发现受XSS影响，而通过XSS请求你的主机（有BeEF）上的资源的应用程序。一旦受害者的浏览器请求BeEF资源，BeEF将发出警告并允许你注入JavaScript代码，执行JavaScript端口扫描（例如受害浏览器将发起扫描：在受害浏览器可能访问的内网环境中进行的端口扫描酒有可能被攻击者利用）等等。这个Flash指南很好地示范了BeEF。
同时，我的一个好朋友也在从事跟BeEF类似的工程。如果他决定对外公开一个可用的版本，我将在此发布。
=============================================
评论Feed: http://www.lziss.com/blog/feed.asp?q=comment&id=321
引用链接: http://www.lziss.com/blog/trackback.asp?id=321
经营范围：商务咨询、企业管理咨询、投资咨询、市场策划、展览展示服务、劳动服务。
并可以为贵公司提供高质量网站建设及网站优化、产品推广服务
公司本次发布信息内容：食品、饮料、酒类、调味品等企业。如果有需要本公司进行产品投放市场前期
的策划，寻找代理商家，可以与我公司联系。
在本月10日以前联系的公司将可以安排贵公司产品参加11月份的华联超市全国订货会。
联系方式：电话 021--51021055-3
E-mail: sh-pai@hotmail,com.
联 系 人：邵先生