XSS漏洞原理及防御方式

最新推荐文章于 2024-03-19 09:16:17 发布

VIP文章 GL.MR

最新推荐文章于 2024-03-19 09:16:17 发布

阅读量4k

点赞数 2

分类专栏： XSS漏洞处理文章标签： javascript 经验分享安全

本文链接：https://blog.csdn.net/Echo_Baby/article/details/114497689

版权

XSS漏洞

Cross Sitescript跨站脚本攻击，客户端脚本安全中的头号大敌

XSS攻击：（需要具备两个条件）

1、需要向WEB页面注入恶意代码
2、这些恶意代码能够被浏览器成功执行

XSS攻击类型：

1、反射攻击

    用户输入的数据反射给浏览器，这个数据可能是Html代码或者Js代码，反射给浏览器去执行

2、存储型攻击

   用户把输入的数据（比较恶意的JS代码）储存在服务器端，具有很强的稳定性，危害时间长

XSS危害：

1、劫持Cookie，cookie一般保存了用户登录凭证，浏览器发起的所有请求都会自带上，如果cookie被盗取，用户可以不用通过密码，而直接登录你的账户。

Cookie设置HttpOnly属性，能够起到四两拨千斤的作用，宁外Cookie可以绑定客户端信息，例如Ip或者umid之类的信息。

2、构建Get和POST请求，如果按照上述进行了设置，则无法直接劫持Cookie信息来使用，但是XSS可以在JavaScript中构建Get和POST请求来实现自己的攻击

例如下面的一段代码：
var img =document.createElement(‘img’);
img.src=”http://blog.cccc.com?m=delete&id=212112”;
document.body.appendChild(img);
只要让用户执行

关注