攻击案例
XSS攻击例子:(简单的修改网页元素,睡眠2s为了先加载元素)
网络钓鱼:
网络钓鱼 (Phishing)攻击者利用欺骗性的电子邮件和伪造的 Web 站点来进行网络诈骗活动,受骗者往往会泄露自己的私人资料,如信用卡号、银行卡账户、身份证号等内容。诈骗者通常会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌,骗取用户的私人信息。XSS攻击也可以用到网络钓鱼,通过注入代码,让用户先登录你的网页,以获取用户名和密码。
实际案例
注:exprssion在IE中才能使用
屏蔽了javascript 关键字,但是中间放一个空格,浏览器仍能正常使用。
不允许下边的混用形式,用ascii码。
屏蔽了innerHtml,用以下方法:
解决方案
在wordpress上的wp-includes中的post.php的2997负责数据的过滤。
其专门使用了一个专门过滤非法字符的库:
使用htmlspecialchars等函数将上传的字符进行转译: