看好你的门-客户端传数据(10)-不安全的HTML禁用元素_html/css

首页

web前端

html教程

看好你的门-客户端传数据(10)-不安全的HTML禁用元素_html/css_WEB-ITnose

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Jun 24, 2016 am 11:48 AM

首先需要声明，本文纯属一个毫无远见和真才实学的小小开发人员的愚昧见解，仅供用于web系统安全方面的参考。

1、简单说明

继续说故事，某一天产品经理策划了一个方案，要搞一个促销。一个用户最多只能用一次鸡蛋优惠券。
开发人员需要对系统进行修改和调整。
让我们脑补一下，传统行业搞互联网电商的场景：
产品经理：赶快改，赶快上，赶快搞活动
运维经理：版本升级，提交上线评估报告，风险测试报告，系统测试报告，各位负责领导签字文件……；
开发人员A：靠，老子一早从9点干到晚上9点，还要老子去写那么多报告，让我想想有那么好办法…
开发人员B：在html表单上做限制，买过一次以后就禁用；
开发人员A：这办法不错，只要修改html，不算版本升级；
开发经理：兄弟们，赶紧开发；
… （使用html进行元素禁用）
测试人员：测试好了，一个人只能用一次鸡蛋优惠券，用完就灰色了，我再也用不了了，达到目标。
开发经理：提交上线
…

2、利用html进行元素禁用

使用了一次以后的页面，确认购买的按钮灰掉了。

<%@ page language="java" import="java.util.*" pageEncoding="UTF-8"%><!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"><html><head><title>看好你的门-阿饭同学 </title></head><body>    <form action="aShopPrice.action" method="post" name="form1" " >    商品：鸡蛋 优惠券，只能使用一次<br>    您已经使用一次<br>    <input type="submit" value="确认购买" disabled="true"/>     </form></body></html>

无论我怎么点，这个按钮都是灰色的。

3、被攻击

诶呀，一不小心，又被攻击了…
1、最简单的方法，比如用代理服务器拦截之后修改，直接让disabled=false 或者去掉这个属性；
2、比如我们把这个页面保持下来，用审查元素功能找到：disabled=true 修改元素属性，去掉这写代码，这样验证就失效了，再多用几次鸡蛋优惠券玩玩吧。。

4、思考html上的元素禁用

1、元素禁用好像现在用的不是很多，不过只要服务器采取了和客户端相同甚至更加严格的确认机制，这种应用就比较难被攻击；
2、因为用户的输入可能带来各种各样的问题，这种方法能够将用户无意中的错误过滤掉，能够减少网络流量和服务器负担，因此，这种方法该用还是要用。

声明

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

如何验证您的HTML代码？Apr 24, 2025 am 12:04 AM

HTML代码可以通过在线验证器、集成工具和自动化流程来确保其清洁度。1)使用W3CMarkupValidationService在线验证HTML代码。2)在VisualStudioCode中安装并配置HTMLHint扩展进行实时验证。3)利用HTMLTidy在构建流程中自动验证和清理HTML文件。

HTML与CSS和JavaScript：比较Web技术Apr 23, 2025 am 12:05 AM

HTML、CSS和JavaScript是构建现代网页的核心技术：1.HTML定义网页结构，2.CSS负责网页外观，3.JavaScript提供网页动态和交互性，它们共同作用，打造出用户体验良好的网站。

HTML作为标记语言：其功能和目的Apr 22, 2025 am 12:02 AM

HTML的功能是定义网页的结构和内容，其目的在于提供一种标准化的方式来展示信息。1）HTML通过标签和属性组织网页的各个部分，如标题和段落。2）它支持内容与表现分离，提升维护效率。3）HTML具有可扩展性，允许自定义标签增强SEO。

HTML，CSS和JavaScript的未来：网络开发趋势Apr 19, 2025 am 12:02 AM

HTML的未来趋势是语义化和Web组件，CSS的未来趋势是CSS-in-JS和CSSHoudini，JavaScript的未来趋势是WebAssembly和Serverless。1.HTML的语义化提高可访问性和SEO效果，Web组件提升开发效率但需注意浏览器兼容性。2.CSS-in-JS增强样式管理灵活性但可能增大文件体积，CSSHoudini允许直接操作CSS渲染。3.WebAssembly优化浏览器应用性能但学习曲线陡，Serverless简化开发但需优化冷启动问题。

HTML：结构，CSS：样式，JavaScript：行为Apr 18, 2025 am 12:09 AM

HTML、CSS和JavaScript在Web开发中的作用分别是：1.HTML定义网页结构，2.CSS控制网页样式，3.JavaScript添加动态行为。它们共同构建了现代网站的框架、美观和交互性。

HTML的未来：网络设计的发展和趋势Apr 17, 2025 am 12:12 AM

HTML的未来充满了无限可能。1)新功能和标准将包括更多的语义化标签和WebComponents的普及。2)网页设计趋势将继续向响应式和无障碍设计发展。3)性能优化将通过响应式图片加载和延迟加载技术提升用户体验。

HTML与CSS vs. JavaScript：比较概述Apr 16, 2025 am 12:04 AM

HTML、CSS和JavaScript在网页开发中的角色分别是：HTML负责内容结构，CSS负责样式，JavaScript负责动态行为。1.HTML通过标签定义网页结构和内容，确保语义化。2.CSS通过选择器和属性控制网页样式，使其美观易读。3.JavaScript通过脚本控制网页行为，实现动态和交互功能。

HTML：是编程语言还是其他？Apr 15, 2025 am 12:13 AM

HTMLISNOTAPROGRAMMENGUAGE; ITISAMARKUMARKUPLAGUAGE.1）htmlStructures andFormatSwebContentusingtags.2）itworkswithcsssforstylingandjavascript for Interactivity，增强WebevebDevelopment。

See all articles