XSS学习笔记

最新推荐文章于 2024-09-27 06:00:00 发布

xiao9105

最新推荐文章于 2024-09-27 06:00:00 发布

阅读量596

点赞数

本文链接：https://blog.csdn.net/m0_47599604/article/details/114937275

版权

本文详细介绍了XSS（跨站脚本攻击）的概念、分类、形成原因、危害及各种类型的区别。反射型、存储型和DOM型XSS通过不同的方式触发，可能导致钓鱼欺骗、身份盗用和网站挂马等安全问题。XSS靶场实战展示了如何检测和利用这些漏洞，包括BeEF框架的使用。最后，文章讨论了XSS的防御措施，如输入检查、输出检查和HttpOnly属性的使用。

摘要由CSDN通过智能技术生成

XSS介绍以及分类
XSS介绍

XSS （cross site scripting）跨站脚本，较适合的方式应该叫做跨站脚本攻击，诞生于1996年，人们经常将跨站脚本攻击（cross site scripting）缩写为CSS，但这会层叠样式表（cascading style sheets，CSS ）的缩写混淆，因此，有人把跨站脚本攻击缩写为XSS。

分类

反射型（非持久型）：

攻击者事先做好攻击链接，需要欺骗用户自己去点击链接才能触发漏洞。

存储型（持久型）：

payload被存储到数据库中，每次只要访问就可以被触发。

DOM型：

DOM型XSS漏洞是基于文档对象模型document object model的漏洞。

形成

由于程序员在编写代码时，未对用户输入的数据进行处理，或者处理不当，从而导致恶意payload代码被执行。

各种类型的区别

XSS类型	存储型	反射型	DOM型
触发过程	1.黑客构造XSS脚本 2.正常用户访问携带XSS脚本的页面	正常用户访问携带XSS脚本的URL	正常用户访问携带XSS脚本的URL
数据存储	数据库	URL	url
谁来输出	后端web应用程序	后端web应用程序	前端javascript
输出位置	HTTP响应中	HTTP响应中	动态构造的DOM节点