XSS跨站脚本攻击
什么是XXS?
- XSS全称跨站脚本(Cross Site Scripting),为了不和CSS混淆,故称为XSS.
- XSS攻击是一种注册型攻击,攻击者在可信的网页嵌入恶意代码,用户访问可信网站除法XSS而被攻击。
XSS的攻击方式
- 反射型:发出请求时,XSS代码出现在URL中,作为输入提交到服务器端,服务器端解析后响应,XSS随响应内容一起返回给浏览器,最后浏览器解析执行XSS代码,这个过程就像一次发射,所以叫反射型XSS。
- 存储型: 存储型XSS和反射型的XSS差别就在于,存储型的XSS提交的代码会存储在服务器端(数据库,内存,文件系统等),下次请求目标页面时不用再提交XSS代码。
XSS会造成那些危害?
攻击者通过Web应用程序发送恶意代码,一般以浏览器脚本的形式发送给不同的终端用户。当一个Web程序的用户输入点没有进行校验和编码,将很容易的导致XSS。
- 网络钓鱼,包括获取各类用户账号;
- 窃取用户cookies资料,从而获取用户隐私信息,或利用用户身份进一步对网>* 站执行操作;
- 劫持用户(浏览器)会话,从而执行任意操作,例如非法转账、强制发表日