[備忘錄分享] XSS (2009 年) 測試記錄

在 2009 年，我第一次接觸弱點掃描，看著掃描報告中的 XSS (Cross-Site Script) 跨網站指令碼漏洞描述，很好奇什麼樣的寫法會用來做為 XSS ，同時也想知道我該怎麼防堵 XSS 進而通過弱點掃描。

當時我找到一個格主是 OpenBlue 的部落格，裡面寫了很多 XSS 相關的知識，我覺得是個寶庫（可惜現在這個部落格已經關了）。我在那個部落格中找到一篇叫做「淺析XSS(Cross Site Script)漏洞原理」的文章，照著文章裡的描述開始了我的摸索與測試。

今日再次搜尋「淺析XSS(Cross Site Script)漏洞原理」才知道原文出處在內地，還好這篇文章還看得到，請看 http://safe.it168.com/n/2007-07-04/20070704004201_all.shtml。

以下為當時我所記錄的內容，

[備忘錄分享] 簡介曾經做過的 Smart Client 架構

大約是 2006 年，那時的我從使用 C++ 寫遊戲程式轉換到使用 .net 寫視窗與網頁程式。
當時的工作是我從資策會學完 .net 之後的下一份工作。工作的內容是和公司的前輩一起製作一個電視購物的 ERP (Enterprise Resource Planning) 系統，主要的子系統如下，

1. 提供給電話客服人員使用的訂單系統。
2. 提供給物流人員使用的進銷存系統。

當時希望採用微軟在 2004 年提出的 Smart Client 架構，這個架構簡單的來說就是要取 Window Form 程式與 ASP.NET 網頁程式的優點並且捨棄它們的缺點。

傳統的 Window Form 程式，定位為 Rich Client (又叫 Fat Client, Thick Client)，
相較於當時的網頁程式，Window Form 能夠使用更豐富的 UI 元件提供給使用者互動，但是缺點就是不易更新使用者手上的程式，每次的程式更新都得打包安裝檔並且讓每個使用者下載與安裝，不像網頁程式用瀏覽器只要重新打開原本的連結，網頁內容隨時都是最新版本。這個問題在使用者越多時會越令人頭痛。

網頁程式，定位為 Thin Client，
不像現在 2018 年，當時的網頁程式連 ajax 都還沒流行，網頁程式能提供給使用者的 UI 都很陽春，和視窗程式有很大的落差。不過其優點就像上一條提到的，發佈更新很方便，只要重新打開原本的連結，網頁內容隨時都是最新版本。

而 Smart Client 就是要取上述兩種的優點，要有 Window Form 程式的豐富 UI ，而且發佈更新像網頁程式一樣方便。

以下簡介當時製作的 Smart Client 系統架構，