Web 前端攻防 2014

禁止一切外链资源 外链会产生站外请求，因此可以被利用实施 CSRF 攻击。   目前国内有大量路由器存在 CSRF 漏洞，其中相当部分用户使用默认的管理账号。通过外链图片，即可发起对路由器 DNS 配置的修改，这将成为国内互联网最大的安全隐患。   案例演示 百度旅游在富文本过滤时，未考虑标签的 style 属性，导致允许用户自定义的 CSS。因此可以插入站外资源：   所有浏览该页面的用户，都能

>>阅读原文<<