xss攻击突破转义_WEB安全之XSS攻击方式与防御方式

上一期给大家简单介绍XSS以及其操作，本期将带大家了解XSS比较常见的攻击方式与防御方式，一起去了解一下~

XSS 常见攻击方法

1、绕过 XSS-Filter，利用 <> 标签注入 Html/JavaScript 代码；

2、利用 HTML 标签的属性值进行 XSS 攻击。例如：<img src=“javascript:alert(‘xss’)”/>；（当然并不是所有的 Web 浏览器都支持 Javascript 伪协议，所以此类 XSS 攻击具有一定的局限性）

3、空格、回车和 Tab。如果 XSS Filter 仅仅将敏感的输入字符列入黑名单，比如 javascript，用户可以利用空格、回车和 Tab 键来绕过过滤，例如：<img src=“javas cript:alert(/xss/);”/>；

4、利用事件来执行跨站脚本。例如：<img src=“#” οnerrοr= “alert(1)”/>，当 src 错误的视乎就会执行 onerror 事件；

5、利用 CSS 跨站。例如：body {backgrund-image: url(“javascript:alert(‘xss’)”)}；

6、扰乱过滤规则。例如：<IMG SRC=“javaSCript: alert(/xss/);”/>；

7、利用字符编码，通过这种技巧，不仅能让 XSS 代码绕过服务端的过滤，还能更好地隐藏 Shellcode；（ JS 支持 unicode、eacapes、十六进制、十进制等编码形式）；