資訊專欄INFORMATION COLUMN
摘要：原理惡意攻擊者往頁面里插入惡意代碼，當(dāng)用戶瀏覽該頁之時，嵌入其中里面的代碼會被執(zhí)行，從而達到惡意攻擊用戶的目的。常見場景一些私人的博客，攻擊者惡意評論，彈出，這種充其量也就是一個玩笑。
前段時間在網(wǎng)上看到一個網(wǎng)址，好奇之下進去看了看。勝利的條件是你錄入一個串，讓其調(diào)用prompt(1) 。發(fā)現(xiàn)里面有好多想不到的東西，今天終于悠閑了來這里說說XSS。
XSS 原理惡意攻擊者往Web頁面里插入惡意Script代碼，當(dāng)用戶瀏覽該頁之時，嵌入其中Web里面的Script代碼會被執(zhí)行，從而達到惡意攻擊用戶的目的。
XSS 常見場景一些私人的博客，攻擊者惡意評論，彈出alert，這種充其量也就是一個玩笑。但是如果是盜竊cookie，異常提交請求，這些就比較難受了。
prompt(1)chrome 版本 62.0.3202.75（正式版本） （64 位）
function escape(input) {
// warm up
// script should be executed without user interaction
return "";
} 第一個
這是一個開胃菜，沒有做任何校驗，這種不設(shè)防的在現(xiàn)在已經(jīng)很少了。他把值直接拼入字符串，組成一個DOM input標(biāo)簽，那我們只要正確的把標(biāo)簽閉合掉就可以調(diào)用了。
">,拼出來的字符串為">，這樣就等于插入了我們的代碼。
function escape(input) {
// tags stripping mechanism from ExtJS library
// Ext.util.Format.stripTags
var stripTagsRE = /]+>/gi;
input = input.replace(stripTagsRE, "");
return "" + input + " ";
}第二個
這個已經(jīng)提升難度了，/]+>/gi匹配<>標(biāo)簽內(nèi)的所有東西,如輸入轉(zhuǎn)換過后會出現(xiàn)prompt(1)，內(nèi)容里面的標(biāo)簽被替換掉了。所以這個我們?nèi)L試不閉合標(biāo)簽，讓瀏覽器自己去容錯。
|on.+?=|focus/gi, "_");
return "";
}
第六個
/>|on.+?=|focus/gi替換了>、onxxxx=和focus。通過input特殊的type類型。
`"type=image src onerror
="prompt(1)`
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/54508.html
摘要：但最近又聽說了另一種跨站攻擊，于是找了些資料了解了一下，并與放在一起做個比較。腳本中的不速之客全稱跨站腳本，是注入攻擊的一種。 XSS：跨站腳本（Cross-site scripting） CSRF：跨站請求偽造（Cross-site request forgery） 在那個年代，大家一般用拼接字符串的方式來構(gòu)造動態(tài) SQL 語句創(chuàng)建應(yīng)用，于是 SQL 注入成了很流行的攻擊方式。...
摘要：原理惡意攻擊者往頁面里插入惡意代碼，當(dāng)用戶瀏覽該頁之時，嵌入其中里面的代碼會被執(zhí)行，從而達到惡意攻擊用戶的目的。常見場景一些私人的博客，攻擊者惡意評論，彈出，這種充其量也就是一個玩笑。 前段時間在網(wǎng)上看到一個網(wǎng)址，好奇之下進去看了看。勝利的條件是你錄入一個串，讓其調(diào)用prompt(1) 。發(fā)現(xiàn)里面有好多想不到的東西，今天終于悠閑了來這里說說XSS。 XSS 原理 惡意攻擊者往Web頁面...
摘要：跨站腳本攻擊跨站腳本攻擊為了不和層疊樣式表縮寫混淆，所以將跨站腳本攻擊縮寫為。而始終被蒙在鼓里。大大增強了網(wǎng)頁的安全性減少注意這里是減少而不是消滅跨站腳本攻擊。 XSS跨站腳本攻擊： XSS 跨站腳本攻擊(Cross Site Scripting),為了不和層疊樣式表（Cascading Style Sheets,CSS）縮寫混淆， 所以將跨站腳本攻擊縮寫為XSS。 XSS是攻擊者在w...
摘要：網(wǎng)絡(luò)黑白一書所抄襲的文章列表這本書實在是垃圾，一是因為它的互聯(lián)網(wǎng)上的文章拼湊而成的，二是因為拼湊水平太差，連表述都一模一樣，還抄得前言不搭后語，三是因為內(nèi)容全都是大量的科普，不涉及技術(shù)也沒有干貨。 《網(wǎng)絡(luò)黑白》一書所抄襲的文章列表 這本書實在是垃圾，一是因為它的互聯(lián)網(wǎng)上的文章拼湊而成的，二是因為拼湊水平太差，連表述都一模一樣，還抄得前言不搭后語，三是因為內(nèi)容全都是大量的科普，不涉及技術(shù)...
閱讀 2086·2023-04-25 19:15
閱讀 2262·2021-11-23 09:51
閱讀 1270·2021-11-17 09:33
閱讀 2175·2021-08-26 14:15
閱讀 2487·2019-08-30 15:54
閱讀 1585·2019-08-30 15:54
閱讀 2175·2019-08-30 12:50
閱讀 1138·2019-08-29 17:08
