渗透技术基础之XSS原理分析

最新推荐文章于 2024-04-27 18:10:30 发布

six_zyy

最新推荐文章于 2024-04-27 18:10:30 发布

阅读量296

点赞数

分类专栏：安全笔记文章标签：安全 XSS

本文链接：https://blog.csdn.net/qq_26655135/article/details/90814111

版权

本文深入探讨了XSS（跨站脚本攻击）的基础知识，包括其原理、攻击类型（反射型、存储型和DOM型XSS）、注入点以及常见防御策略。XSS攻击通过在网页中插入恶意JavaScript代码，导致用户数据泄露或执行攻击者指令。防御措施包括过滤、转义、代码数据分离、使用CSP策略等。文章还提到了XSS攻击的检测方法和绕过技巧，强调了前端代码严谨性和输入内容的长度控制，以及利用HTTP-only Cookie来保护敏感信息。

摘要由CSDN通过智能技术生成

XSS介绍

Cross-Site Scripting(跨站脚本攻击)简称XSS，是一种代码注入攻击。为了和CSS区分，这里将其缩写的第一个字母改成了X，于是叫做XSS。恶意攻击者在web页面里插入恶意JavaScript代码，当浏览者浏览网页时就会触发恶意代码，从而导致用户数据的泄露如Cookie、SessionID等，及造成其他类型的攻击。

XSS的本质是：恶意代码未经过滤，与网站正常代码混在一起，浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行。从源头上讲，就是代码和数据被攻击混淆，导致浏览器将攻击者输入的数据解释为代码。

案例介绍

对于下面的代码

<input type="text" value="<%= getParameter("keyword") %>">
<button>搜索</button>
<div>
  您搜索的关键词是：<%= getParameter("keyword") %>
</div>

当构造链接：

http://xxx/search?keyword="><script>alert('XSS');</script>

浏览器请求该链接时，服务端会解析出参数keyword,得到"><script>alert('XSS');</script>，拼接后，得到：

<input type="text" value=""><script>alert('XSS');</script>">
<button>搜索</button>
<div>
  您搜索的关键词是："><script>alert('XSS');</script>
</div>

因为参数中的数据和页面代码产生了混淆，浏览将用户参数中的<script>alert('XSS');</script>，解析为代码执行。

修复这个问题可以对用户输入参数进行转义。

使用函数escapeHTML()

最低0.47元/天解锁文章