XSS简介

Posted whitehawk

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了XSS简介相关的知识,希望对你有一定的参考价值。

xss又叫css,为了与前端的css区别,所以叫xss,即跨站脚本攻击。

XSS原理解析

XSS攻击是在网页中嵌入客户端恶意脚本代码,恶意代码一般都是javascript编写的。想要深入研究XSS,必须精通javascript。

javascript可以获取用户的cookie、改变网页内容、URL跳转,所以,存在XSS漏洞的网站,就可以盗取Cookie、黑掉页面、跳转到恶意网站。

在存在XSS漏洞的地方输入<script>alert(/xss/)</script>,则会弹窗。在<script></script>之间输入恶意javascript代码,就会造成相应的恶意攻击。盗取Cookie、监控键盘记录等。

反射型XSS

反射型XSS也被称为非持久性XSS。当用户访问一个带有XSS代码的URL请求时,服务端接收数据后处理,然后把带有XSS代码的数据发送到浏览器,浏览器解析XSS代码,造成XSS漏洞。

比如:XXX.com/1.php?username=<script>恶意代码</script>,就会造成反射型XSS漏洞。看似没什么危害,但是当你了解了Cookie的话,就不会这么认为了。

存储型XSS

存储型XSS又被称为持久型XSS。攻击者提交XSS代码,服务器接收并存储,再次访问这个页面时,XSS代码从数据库中被读取出来,浏览器解析XSS代码,造成存储型XSS攻击。

存储型XSS一般存在于评论,留言板等地方,测试是否存在XSS时,我们要确定输出的内容是在标签内还是标签属性内或者是其他地方,如:<input type="text" name="content" value="<script>alert(/xss/)</script>"/>  这段代码中的XSS就不会被执行,因为XSS代码是value属性的值,被当做html来解析,此时,我们需要闭合input标签,<input type="text" name="content" value=""/><script>alert(/xss/)</script>"/> ,这样就会执行XSS代码,造成恶意攻击。

检测XSS

检测分为手工检测和软件自动检测。

(1)手工检测

输入一些敏感字符,例如“<、>、"、‘、()”等,提交请求查看源代码看是否被转义。

不知道输出位置的情况下使用:"/>XSS  来测试。

(2)软件自动检测

软件检测都是自动化,像appscan、awvs、burpsuit等都可以检测。

专业的XSS扫描工具有XSSER、XSSF等。

检测XSS要工具与手工并进,这样才能更好的检测XSS。

以上是关于XSS简介的主要内容,如果未能解决你的问题,请参考以下文章

关于XSS漏洞的简介以及分类

XSS漏洞简介

HTTP攻击与防范 |XSS-简介

初识渗透测试—黑客盗号的常用手法XSS攻击简介

安全牛学习笔记XSS-简介跨站脚本检测和常见的攻击利用手段

安全牛学习笔记XSS-简介跨站脚本检测和常见的攻击利用手段2