xss攻与防

最新推荐文章于 2022-08-29 16:56:33 发布

RAVEN_1452

最新推荐文章于 2022-08-29 16:56:33 发布

阅读量131

点赞数

分类专栏： xss

本文链接：https://blog.csdn.net/amber_o0k/article/details/109271692

版权

1 篇文章 0 订阅

订阅专栏

以script注入为例，

注入语句应尽量短小，不要包含回车。

诸如后检查输出情况不要用DOM查看，应使用ctrl+u查看源代码中的情况。

dom中会显示正确的语句（白色的文本模式），但在源代码中可以看到被转义的尖括号，即注入并未成功。

在 HTML 中，某些字符是预留的。

在 HTML 中不能使用小于号（<）和大于号（>），这是因为浏览器会误认为它们是标签（xss就是要让浏览器误认为这是标签，以达到执行js语句的目的）。没有标签几乎不能注入，HTML实体字符这种编码将这一步封得死死的。

如果希望正确地显示预留字符，我们必须在 HTML 源代码中使用字符实体（character entities）。

字符实体类似这样：

&entity_name;或者&#entity_number;

如需显示小于号，我们必须这样写：< 或 <

提示：使用实体名而不是数字的好处是，名称易于记忆。不过坏处是，浏览器也许并不支持所有实体名称（对实体数字的支持却很好）。