存储型xss案例

最新推荐文章于 2024-06-19 01:27:23 发布
最新推荐文章于 2024-06-19 01:27:23 发布
阅读量1.5k 收藏 4
点赞数 1
分类专栏： web安全 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45694388/article/details/108027522
版权
本文详细介绍了存储型XSS攻击的原理，通过一个论坛网站的案例展示了如何寻找存储位置并尝试注入XSS代码。在多次尝试后，最终在标签部分成功实现XSS注入，导致每次打开帖子时弹窗出现，揭示了攻击者如何利用这种漏洞获取用户cookie并可能进行恶意操作。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

存储型xss原理:
攻击者在页面插入xss代码,服务端将数据存入数据库,当用户访问存在xss漏洞的页面时,服务端从数据库取出数据展示到页面上,导致xss代码执行,达到攻击效果
在这里插入图片描述
案例:
在一个搭建的论坛网站中,
在这里插入图片描述
根据存储型xss注入的条件,要找到可以存储到数据库的输入位置,并且这个位置还可以被其他用户查看,
例如在此网站中,我们可以尝试在发帖、评论区、标题、标签，以及个人主页的名称、签名、地址…等位置

  1. 帖子中：

发现只有点击xss才会显示弹窗，说明这不是一个存储型xss，因为他只能影响到自己在这里插入图片描述

发表后发现，xss代码显示不出来
在这里插入图片描述
查看源码发现，error被过滤，xss注入失败

最低0.47元/天 解锁文章
存储型XSS漏洞解析
w2361734601的博客
04-02 1549
案例：某招聘平台允许上传HTML简历，攻击者嵌入恶意脚本后，所有查看简历的用户会话被劫持。文件上传漏洞：攻击者上传含恶意脚本的PDF、SVG等文件，用户访问文件时触发XSS。蠕虫传播：结合社交功能（如论坛、私信），恶意脚本可诱导用户自动转发，形成链式传播。钓鱼与数据泄露：通过篡改页面内容（如伪造登录框）或窃取用户隐私数据（如支付信息）。：恶意脚本窃取用户敏感信息（如Cookie、会话令牌）或篡改页面内容。​（如数据库、文件系统）的跨站脚本攻击方式。：其他用户访问包含恶意脚本的页面时，脚本自动加载并执行。
web安全之XSS实例解析
2401_89609862的博客
01-14 937
然后用户向网站请求包含了恶意 JavaScript脚本的页面当用户浏览该页面的时候，恶意脚本就会将用户的cookie信息等数据上传到服务器存储型XSS举一个简单的例子，一个登陆页面，点击登陆的时候，把数据存储在后端，登陆完成之后跳转到首页，首页请求一个接口将当前的用户名显示到页面客户端代码登陆服务端代码// 临时用一个变量来存储，实际应该存在数据库中// 处理post请求的参数msg: ‘登陆成功’console.log(‘启动成功’);});
存储型Xss成因及挖掘方法
02-21
存储型Xss成因及挖掘方法
Medium 级别存储型 XSS 攻击演示（附链接）
Flag少侠的博客
04-03 542
发现咱们的猜测没错，可以试试双写或者大小写混淆
基于hadoop构建对象存储系统_对象存储添加Hadoop、OpenStack插件
weixin_39588252的博客
12-18 222
【IT168 资讯】对象存储初创公司Scality将其存储添加到Hadoop，使用户可避免通过Hadoop自己的文件系统加载数据。他们还推出了一款针对Cinder——在OpenStack项目里面的块存储层的插件。RING是基于一组X86服务器节点的对象存储基础架构，存储对象而不是文件或块，而且可以并行操作。Scality提供的一个被称为“生产级Hadoop存储实施”使用了CDMI——由SNIA开发...
存储型 XSS 攻击演示（附链接）
Flag少侠的博客
01-23 1743
存储型 XSS 攻击演示（附链接）
Web安全基础学习：XSS跨站脚本漏洞之存储型XSS
qq_51862722的博客
06-19 1678
存储型XSS漏洞：指像留言板、用户名称、日志信息等一些会存储在服务器端的信息，当攻击者在存在存储型XSS漏洞的功能点进行注入之后，任何浏览器端加载该信息的时候都会将其中的恶意代码解析，进而触发XSS攻击。该方法甚至可以在管理员审核留言或查看系统信息时触发，进而造成管理员敏感信息的泄露。因为其存储在服务器端，因此造成的危险程度、攻击范围比反射型更大更广。留言板、评论区、用户头像、个性签名、登录日志、博客等。
XSS漏洞-存储型漏洞案例
dragon的博客
03-08 774
在github上找DVWA的靶机环境。
【存储型XSS】
==
03-05 792
存储型XSS $input =$_GET['inout']; $code= <<<CODE <textarea>$input</textarea> CODE;
【XSS漏洞-01】XSS漏洞简介、危害与分类及验证
zz12345600354的博客
04-23 1282
定义/原理：跨站脚本（Cross-Site Scripting），本应该缩写为CSS，但是该缩写已被层叠样式脚本Cascading Style Sheets所用，所以改简称为XSS。也称跨站脚本或跨站脚本攻击。跨站脚本攻击XSS通过将恶意得Script代码注入到Web页面中，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。本质：是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种。特点：XSS主要基于JavaScript。
DVWA系列（四）——使用Burpsuite进行存储型XSS（存储型跨站脚本攻击）
橘子女侠
05-05 2753
存储型XSS 长期存储于服务器端； 每次用户访问都会执行脚本代码； 1. 存储型XSS攻击图示 （1）获取被攻击者的cookie； 黑客首先向服务器发送js脚本； 服务器返回含有js脚本的页面；并将该页面存储在服务器上； 当被攻击方访问服务器时，服务器返回存储的js页面； 黑客接收到被攻击方的cookie； （2） 重定向到第三方网站； 黑客首先...
XSS存储型 网易云课堂
01-18
2. **存储型XSS的特点**：强调攻击者提交的恶意代码被存储在服务器数据库中，如论坛帖子、评论、个人资料等，当其他用户查看这些内容时，恶意脚本将被执行。 3. **案例分析**：通过分析`add.php`等文件，可能演示了...
html中span xss,安全小课堂第123期【富文本存储型XSS漏洞挖掘】
weixin_39672396的博客
07-03 1978
原标题：安全小课堂第123期【富文本存储型XSS漏洞挖掘】邮件、论坛、日志发布等UGC类(用户产生内容)业务构成在线生活的重要部分。作为供用户创造内容的“生产力工具”，其背后隐藏着巨大的攻击面。其中，最易产生的问题是XSS。XSS(Cross-site ing)是一种常见的web漏洞，借助XSS攻击者可以窃取隐私敏感数据，甚至产生蠕虫对业务带来灾难性影响。JSRC安全小课堂第123期，邀请到Mar...
存储型XSS原理讲解及实战实验
liguangyao213的博客
12-23 3367
原理：使用者提交的XSS代码被存储到服务器上的数据库里或页面或某个上传文件里，导致用户访问页面展示的内容时直接触发xss代码。 输入内容后直接在下方回显，回显的地方就是我们插入的内容的地方。 根据显示代码进行闭合弹框尝试，payload： 黑客一般都会使用存储型xss进行钓鱼。 在pikachu平台自带有钓鱼功能,鱼饵:http://81.68.155.178:82/pkxss/xfish/fish.php 将上面的鱼饵写入到我们的存储型xss中，然后引诱鱼儿上钩： payload:&
3-3存储形XSS漏洞演示
山兔的博客
04-14 2264
存储型XSS和DOM型XSS的解析  存储型XSS演示和与原理分析  Dom型XSS演示和原理分析 存储型XSS漏洞 存储型XSS漏洞跟反射型形成的原因一样，不同的是存储型XSS下攻击者可以将脚本注入到后台存储起来，构成更加持久的危害，因此存储型XSS也称“永久型”XSS。 存储型XSS漏洞演示 我们切换到pikachu存储型xss栏目 我们看到他这个地方有留言板，我们试着留个言，点提交 我们发现这个留言会被存储到页面上面，我们刷新这个页面，留言一直在这里，也就是说，我们提交的这个留言，被后台给存下
存储型xss_安全测试之XSS
weixin_39989159的博客
11-29 1715
安全测试之跨站脚本攻击(XSS)前言随着互联网的不断发展，web应用的互动性也越来越强。但正如一个硬币会有两面一样，在用户体验提升的同时安全风险也会跟着有所增加。今天，我们就来讲一讲web渗透中常见的一种攻击方式：XSS攻击。(一)什么是XSS攻击先上一段标准解释(摘自百度百科)。“XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style ...
跨站脚本攻击(XSS)复现与防范、上海交通大学反射型与存储型xss案例
sGanYu
10-24 9234
目录 xss漏洞介绍 XSS是什么 XSS漏洞原理 反射型XSS攻击复现 存储型XSS攻击复现 DOM型XSS攻击复现 常用的XSS测试语句 关于XSS的防御 xss漏洞介绍 跨站脚本攻击，英文全称是Cross Site Scripting，为了不和层叠样式表(Cascading Style Sheets，CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS XSS攻击，通常指的是攻击者通过“HTML注入”篡改网页，插入恶意脚本，代码注入的一种攻击手段，当其他用户浏览网页时就会受影响
XSS类型概述及示范用例
NZXHJ的博客
07-24 902
XSS类型概述及不同情况下示范用例
xss反射型和存储型过程即实验PHP代码复现
m0_73236215的博客
08-19 341
C2服务器负责接收来自恶意软件的指令，并将指令传达给受感染的计算机，以执行各种恶意活动，如数据盗取、攻击其他计算机等。因此，仅有IP地址并不足以保证通信的成功。换句话说，当用户访问这个URL时，浏览器会执行这段JavaScript代码，并发送一个带有用户cookie的请求到指定的URL。总结来说，C2服务器需要拥有IP地址才能在互联网上进行通信，而IP地址是C2服务器被发现和进行通信的基础。点击点我之后就会触发链接，这是js代码的触发事件，关于js的事件还有很多，这里以最简单的onclick为例。
DVWA存储型XSS
最新发布
03-30
最后，生成相关问题时要围绕存储型XSS的不同方面，比如各等级区别、实际应用中的案例、CSP的作用、HttpOnly如何帮助防御，以及与其他XSS类型的比较。确保问题能帮助用户进一步深入理解。</think>### DVWA 存储型 XSS...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

b1gpig安全

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值