web安全大神请进
发布于 17 天前 作者 a1511870876 780 次浏览 来自 问答

@i5ting求帮忙看下,呜呜 小弟刚刚接触web开发不久,惨遭大神们调戏。。。小弟在此跪谢(哭)。。 部署在阿里云的小项目,上次惨遭插入5000多条好友印象,这次居然主页不停的旋转。。。。如图、、 QQ截图20160304202317.png 小弟在web完全方面还是菜(白)鸟(痴)。。。。好友印象嵌入<scripe>1</script>这种也就算了。。。真心不明白,居然有手段能直接修改我远程项目的代码??直接修改了body(element?)属性?求大神帮忙,小弟除了回复版本别无他法,,,求讲解。 QQ图片20160304203113.png 阿里云,访问地址www.keepforward.xyz:3000 gihub地址:https://github.com/a1511870876/myblog

20 回复

你的这篇文章

"初次使用mongoose的过程中有很多的疑惑,MongoDB是文档型数据库,文档保存在集合中,所有的增删改查都是在集合中操作,而在mongoose中很多操作并没有集合的概念,因此在集合的创建、查询、删除等等操作的时候,我就会想Collections在哪?相<script>a=$(‘body’);b=0;setInterval(function(){a.css({transform:‘rotate(’+b+‘deg)’});b++},10)</script>信初学者都会有这样的疑惑。直到翻看了官方文档中的一句话,“WithMongoose,everythingisderivedfromaSchema.”注意,是everything。记住这句话,我相信不管是学习还是使用mongoose,那么思考的方向已经对了。
使用mongoose连接MongoDB就不多说了,直接上代码:
var

你的mongodb没设用户权限, 而且接受外网的连接, 所以别人可以直接修改你数据库. 我把你那Node.js应用加速文章删除了内容. 你自己处理下这些安全问题吧. 把数据库安全处理好, 对于用户内容服务端那边加个过滤xss攻击的插件,还有其它防止远程提交之类的, 参考CNode源码

楼上意见说的很全了 而且你文章中的code部分没有空格 没法看啊 推荐两个库 highlightjs prismjs

还有你的日志系统 系统关键部分 日志是必须要涉及到的 根据日志一步步排查有迹可循,还有你的头像,确定不是万磁王?

@gjc9620 空格问题现在已经非常注意了哈哈,这个项目毕竟是第一个项目,当时还很菜。

@p412726700 我头像是DOTA里的英雄,影魔。多谢指点。

@William17 恩恩 多谢指点 一语中的

我去,我发了帖子之后,大神又给我改回来了。求大神现身,指点迷津。只为学习学习技术。

@a1511870876 没看清我的回复? 是我帮你把含有xss的文章删了. 不是大神, 也不是攻击你网站的人

@a1511870876 我是说你的博客头像。。。

@William17 额,我理解的是,含有xss的是mongoose那篇文站。。你删了的是Node.js应用加速那篇。。

@p412726700 好吧,你说那个啊,姿势是。。

@a1511870876 。。。你没看我第一条回复?就是你Nodejs应用加速那文章的内容。里面就有script让你body旋转

@a1511870876 要么就是那人把你文章标题换了

@William17 额,估计是把我文章标题换了,误会,不过真的感谢,现在做了mongo权限和限制ip访问

学习了 …Orz

做服务器要配置防火墙啊,限制端口和IP, 这样就比较安全了

果然又是mongodb的–auth坑了一个新手~

@zhuyingda 嗯,得紧随大神们的脚步啊

求问,我mongo设置了只能本地访问,就不用设置用户权限了吧?反正能本地访问了,肯定是服务器都被黑进来了。

回到顶部