本文介绍了Web安全中的存储型XSS，详细阐述了同源策略、XSS的原理、危害及分类，特别是重点讲解了存储型XSS的特点和攻击流程，并探讨了多种XSS防御策略，包括使用htmlspecialchars()、strip_tags()、httpOnly等方法。
大家好，我是阿里斯，一名IT行业小白。由于工作原因停更已经好久，中间虽然也水了俩篇文章，但是个人感觉该继续水下去了，因为收到了不止一位粉丝的监督。那么就从今天开始吧，接下来的主要内容主要围绕xss展开。
什么是同源策略
同源策略是浏览器的一个安全功能，不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。所以xyz.com下的js脚本采用javascript读取abc.com里面的文件数据是会被拒绝的。
同源策略限制了从同一个源加载的文档或脚本如何与来自另一个源的资源进行交互。这是一个用于隔离潜在恶意文件的重要安全机制。
同源策略基本特点
如果Web世界没有同源策略，当你登录FreeBuf账号并打开另一个站点时，这个站点上的JavaScript可以跨域读取你的FreeBuf账号数据，这样的话整个WEB世界就没有 隐私而言。
同源策略中的同源指什么
协议相同
域名相同
端口相同
不受同源策略限制
<script src="....">script><link><iframe><img>......<--!这种带src属性的标签，在加载时，实际是生成一条GET请求，向指定服务器申请资源。-->什么是XSS
XSS原理
XSS 跨网站脚本(Cross-site scripting) 是一种常见的web安全漏洞，属于代码注入。xss的主要由于攻击者在网站插入恶意的脚本后，正常用户访问该网站时脚本执行，从而导致用户被窃取cookie，被劫持会话，被强制跳转等恶意攻击。
XSS漏洞形成原因
未对客户端输入进行严格的处理
没有严格检测要输出到页面的内容,导致恶意脚本输出到网页
示例：
<html lang="en"><head> <meta charset="UTF-8"> <title>XSS原理测试title>head><body> <form action="#"> <input type="text" placeholder="欢迎关注公众号：小白学IT" name="xss"> <input type="submit" value="搜索"> form>body>html><?php header("Content-type:text/html;charset=utf-8");if(!empty($_REQUEST['xss'])){
$xss = $_REQUEST['xss']; print_r($xss);}
最低0.47元/天 解锁文章
扫一扫
2639
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
