NoScript 过滤了一个来自登录网页的潜在跨站点脚本攻击(XSS）

[jingyue]

NoScript 过滤了一个来自登录网页的潜在跨站点脚本攻击(XSS），

见图片（附件），

[jingyue]

最近一年来遇到过几次跨站脚本攻击（XSS ），
大部分是在登录信箱，或登录技术论坛账号时发生的，
都被 NoScript 给过滤掉了，
我已经保存了几个截图，（证据），
建议火狐 Firefox 浏览器安装 NoScript ，

[jingyue]

NoScript 是火狐浏览器的一个可选的扩展组件，用来阻止浏览器运行网页上面的 JavaScript ，

我们已经知道，火狐浏览器一旦开启了 WebRTC 协议，或者开启了 Flash 插件，就会泄露用户的真实 IP 地址，
实际测试表明， WebRTC 协议 和 Flash 插件，都需要开启 JavaScript 才能泄露真实 IP 地址，
Firefox 官方网站发布的火狐浏览器默认开启了 WebRTC 协议，默认开启了 JavaScript，

网站网页上面恶意的 JavaScript 可以使浏览器在 127.0.0.1 处绕过防火墙，重新定向到其它网页，

最近在国内 163.com 网站邮箱登录时，发现了跨站脚本攻击（XSS）现象，在国外技术论坛登录帐号时也发现了跨站脚本攻击（XSS），

NoScript 设置：
1，Options 选项 ——> Whitelist 白名单，把里面的那些白名单都删除，
以后可以随时允许XX网站时会自动添加和保留为白名单，建议临时允许，
建议添加 192.168.1.1 或 192.168.0.1 用来登录和设置路由器时需要允许 JavaScript ，
2，Options 选项  ——> Advanced 高级 ——> XSS，把白框里面的那些白名单都删除，即可，

[jingyue]

https://tiandixing.org/viewtopic.php?f=15&t=194926#p1216018

帖子由 杰克 » 04 12月 2016

TTDD 写道:
    NoScript是做什么用的？如何设置？

NoScript是一个火狐扩展，如同我们平时常用的DownThemall 也是火狐扩展。NoScript可以在火狐里直接下载（虽然NoScript不算敏感程序，常人下载量上百万很多人在用，但从安全考虑尽量破网后下载）。方法是：打开火狐——工具——附加组件——获取附加组件，页面右上角方框内键入关键词"noscript"，回车，找到"Noscript"，右侧点击安装就行了。

需要提醒的是，安装noscript后，一般无需特殊设置（如特别需要研究的，可以破网自行搜索使用教程）。但因为这个扩展会屏蔽网站的脚本（即script），而很多网站都会使用正常的非恶意脚本（当然也不少网站因此会被注入恶意脚本），所以屏蔽脚本后的不少网页会不能正常显示网页内容。如果这时你并不需要在这个网站做登录用户这样的动作（这里讨论的主要担心是攻击者通过恶意脚本获取您登录该网站的用户名、密码或者说登录权限），可以右键点击火狐右上角的"NoScript"图标，在跳出的菜单中选择"临时允许×××网站"就可以了（尽量不要选择"允许××网站"，如这样选，以后再次登录该网站时NoScript会放行该网站的脚本）。

总体而言，安全性和便利性是相互矛盾的，安装NoScript时可能会牺牲一些便利性。