本文介绍了XSS攻击的原理，包括存储型、反射型和DOM型XSS，并详细列举了各种绕过防御的方法，如编码绕过、事件属性利用等。同时，文章还探讨了有效的XSS防御措施，如设置HttpOnly Cookie、限制输入长度和使用安全框架。
xss原理
xss产生的原因是将恶意的html脚本代码插入web页面，底层原理和sql注入一样，都是因为js和php等都是解释性语言，会将输入的当做命令执行,所以可以注入恶意代码执行我们想要的内容
xss分类
存储型xss:
js脚本代码会插入数据库，具有一定的持久性
反射型xss:
js经过后端php等语言处理
dom型xss:
和反射型xss类似，但是不经过后端服务器的处理
xss绕过总结:
自身绕过
//没有过滤
//大小写绕过
alert('xss') //嵌套绕过
alert('xss') //空字节绕过
" oonnclick=alert('XSS') // //闭合单双引号绕过(对于html实体输入的和过滤< >)
其他标签绕过
show
编码绕过
base64编码绕过
show
Unicode编码绕过
url编码绕过
最低0.47元/天 解锁文章
1551
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
