码迷,mamicode.com
首页 > 其他好文 > 详细

XSS简介

时间:2018-11-02 00:19:09      阅读:266      评论:0      收藏:0      [点我收藏+]

标签:嵌入   put   地方   username   用户   访问   攻击   网站   标签   

xss又叫css,为了与前端的css区别,所以叫xss,即跨站脚本攻击。

XSS原理解析

XSS攻击是在网页中嵌入客户端恶意脚本代码,恶意代码一般都是javascript编写的。想要深入研究XSS,必须精通javascript。

javascript可以获取用户的cookie、改变网页内容、URL跳转,所以,存在XSS漏洞的网站,就可以盗取Cookie、黑掉页面、跳转到恶意网站。

在存在XSS漏洞的地方输入<script>alert(/xss/)</script>,则会弹窗。在<script></script>之间输入恶意javascript代码,就会造成相应的恶意攻击。盗取Cookie、监控键盘记录等。

反射型XSS

反射型XSS也被称为非持久性XSS。当用户访问一个带有XSS代码的URL请求时,服务端接收数据后处理,然后把带有XSS代码的数据发送到浏览器,浏览器解析XSS代码,造成XSS漏洞。

比如:XXX.com/1.php?username=<script>恶意代码</script>,就会造成反射型XSS漏洞。看似没什么危害,但是当你了解了Cookie的话,就不会这么认为了。

存储型XSS

存储型XSS又被称为持久型XSS。攻击者提交XSS代码,服务器接收并存储,再次访问这个页面时,XSS代码从数据库中被读取出来,浏览器解析XSS代码,造成存储型XSS攻击。

存储型XSS一般存在于评论,留言板等地方,测试是否存在XSS时,我们要确定输出的内容是在标签内还是标签属性内或者是其他地方,如:<input type="text" name="content" value="<script>alert(/xss/)</script>"/>  这段代码中的XSS就不会被执行,因为XSS代码是value属性的值,被当做HTML来解析,此时,我们需要闭合input标签,<input type="text" name="content" value=""/><script>alert(/xss/)</script>"/> ,这样就会执行XSS代码,造成恶意攻击。

检测XSS

检测分为手工检测和软件自动检测。

(1)手工检测

输入一些敏感字符,例如“<、>、"、‘、()”等,提交请求查看源代码看是否被转义。

不知道输出位置的情况下使用:"/>XSS  来测试。

(2)软件自动检测

软件检测都是自动化,像appscan、awvs、burpsuit等都可以检测。

专业的XSS扫描工具有XSSER、XSSF等。

检测XSS要工具与手工并进,这样才能更好的检测XSS。

XSS简介

标签:嵌入   put   地方   username   用户   访问   攻击   网站   标签   

原文地址:https://www.cnblogs.com/whitehawk/p/9893193.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!