不能忽视的XSS漏洞—搜索框所引起的XSS漏洞

最新推荐文章于 2024-08-01 09:02:28 发布

tedli

最新推荐文章于 2024-08-01 09:02:28 发布

阅读量4.7k

点赞数 2

分类专栏： web安全文章标签：电子商务 javascript cookies scripting qq 数据库

本文链接：https://blog.csdn.net/tedli/article/details/2112340

版权

本文介绍了XSS（Cross-site scripting）漏洞的起源、危害，并通过实例揭示了搜索框可能带来的安全风险。文章指出，尽管XSS蠕虫引起了人们对XSS漏洞的关注，但很多公司对搜索框的输出过滤不足，比如淘宝、当当和亚马逊中国等知名电商网站，存在搜索框XSS漏洞。作者分析了漏洞产生的原因，并展示了如何利用该漏洞在淘宝上触发XSS攻击。

摘要由CSDN通过智能技术生成

引子：

我刚入行的时候做过一个小小的页面工具，其中有一个步骤是把一些代码输出到页面上，当时我用的是php做的，写了个for循环，读取每一行的内容，然后echo出来。但是我发现页面排版老是那么的乱，怎么缩进都没有了？有一些代码还显示不出来？这太让我纳闷了，于是问一个学长是怎么一回事，他说：“当然啦，你输出的内容被浏览器解释过后的样子就是这样子的了，比如说你的空格浏览器是不承认的，你要输出空格就得用nbsp; ……”这时我才反应过来：“哦，原来如此……”。那时我才知道，在html的输出上代码和内容还是得程序员自己去区分的。

XSS的非常简单的介绍

XSS(Cross-site scripting)漏洞最早可以追溯到1996年，那时电子商务才刚刚起步，估计那时候国内很少人会想象到今天出现的几个国内电子商务巨头淘宝、当当、亚马逊（卓越）。XSS的出现“得益”于JavaScript的出现，JavaScript的出现给网页的设计带来了无限惊喜，包括今天风行的AJAX(Asynschronous JavaScript and XML)。同时，这些元素又无限的扩充了今天的网络安全领域。

然而，时至今天，国内还有很多同行对XSS漏洞没有重视起来：

“反正XSS又不会窃取我的root权限……”

“切，让他把我的数据库down下来啊……”

2005年10月，国外知名网络社区MySpace出现了一个叫Samy的XSS蠕虫在24小时内感染了超过1百万个网页。而不久之前，百度也出现了XSS蠕虫。