20170812-XSS跨站脚本攻击

894974231 发布于2019-08-02 15:57 / 457人阅读

摘要：跨站脚本攻击跨站脚本攻击为了不和层叠样式表缩写混淆，所以将跨站脚本攻击缩写为。而始终被蒙在鼓里。大大增强了网页的安全性减少注意这里是减少而不是消灭跨站脚本攻击。

XSS跨站脚本攻击：

XSS 跨站脚本攻击(Cross Site Scripting),为了不和层叠样式表（Cascading Style Sheets,CSS）缩写混淆，所以将跨站脚本攻击缩写为XSS。 XSS是攻击者在web页面插入恶意的代码。当用户浏览该页面时，代码执行，从而实现攻击目的。对受害用户可能采取Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击

XSS跨站脚本攻击分为：反射型(非持久型XSS)和持久型

反射型XSS:

用户点击攻击链接，服务器解析响应，在返回的响应内容中出现攻击者的XSS代码，被浏览器执行。这样，XSS攻击脚本被web server反射回来给浏览器执行，所以称为反射型XSS

正常链接，点击后会在页面显示hello 用户名
http://xxx.com?username=yang

页面输出
hello yang

如果我把上面的url变成这样，同时服务器没有做过滤
http://xxx.com?username=

页面会出现弹框，显示xss；可能会在上面的脚本中加入其它更加复杂的脚本

持久型XSS：

攻击者在相关页面输入恶意的脚本数据后，恶意脚本会被存放到到服务器的数据库。用户浏览页面时，会从数据库中查询数据，数据在页面的显示导致该恶意脚本会在页面中执行，浏览此页面的用户就可能受到攻击。这个流程简单可以描述为:恶意用户的Html输入Web程序->进入数据库->Web程序->用户浏览器。

例如：恶意用户 H 提交评论，然后用户 B 来访问网站，这段脚本会在B的浏览器直接执行，恶意用户 H 的脚本就可以任意操作 B 的 cookie，而 B 对此毫无察觉。有了 cookie，恶意用户 H 就可以伪造 B 的登录信息，随意访问 B 的隐私了。而 B 始终被蒙在鼓里。

DOM-based XSS

基于DOM的XSS，也就是web server不参与，仅仅涉及到浏览器的XSS。比如根据用户的输入来动态构造一个DOM节点，如果没有对用户的输入进行过滤，那么也可能导致XSS攻击的产生。

XSS的防御

XSS出现的原因是：在用户输入的时候没有做严格的过滤，在输出内容到浏览器页面时，也没有进行检查、转移和替换

使用XSS Filter

输入过滤，对用户提交的数据进行有效性验证，仅接受指定长度范围内并符合我们期望格式的的内容提交，阻止或者忽略除此外的其他任何数据。

DOM型的XSS型防御：

把变量输出到页面时要做好相关的编码转义工作，如要输出到

通过HTML的标签。

参考

http://www.imooc.com/article/...

GPU云服务器云服务器 asp 跨站脚本攻击云盾 xss跨站脚本攻击脚本 linux脚本攻击

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/54417.html

《网络黑白》一书所抄袭的文章列表

摘要：网络黑白一书所抄袭的文章列表这本书实在是垃圾，一是因为它的互联网上的文章拼凑而成的，二是因为拼凑水平太差，连表述都一模一样，还抄得前言不搭后语，三是因为内容全都是大量的科普，不涉及技术也没有干货。《网络黑白》一书所抄袭的文章列表这本书实在是垃圾，一是因为它的互联网上的文章拼凑而成的，二是因为拼凑水平太差，连表述都一模一样，还抄得前言不搭后语，三是因为内容全都是大量的科普，不涉及技术...

zlyBear 2019-06-21 16:31 评论0 收藏0
XSS跨站脚本攻击

摘要：三攻击分类反射型又称为非持久性跨站点脚本攻击，它是最常见的类型的。存储型又称为持久型跨站点脚本，它一般发生在攻击向量一般指攻击代码存储在网站数据库，当一个页面被用户打开的时候执行。例如，当错误，就会执行事件利用跨站。一、简介 XSS（cross site script）是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去。使别...

BingqiChen 2019-08-02 16:14 评论0 收藏0
XSS跨站脚本攻击

摘要：三攻击分类反射型又称为非持久性跨站点脚本攻击，它是最常见的类型的。存储型又称为持久型跨站点脚本，它一般发生在攻击向量一般指攻击代码存储在网站数据库，当一个页面被用户打开的时候执行。例如，当错误，就会执行事件利用跨站。一、简介 XSS（cross site script）是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去。使别...

zsirfs 2019-08-23 17:00 评论0 收藏0