千锋教育-做有情怀、有良心、有品质的职业教育机构

手机站
千锋教育

千锋学习站 | 随时随地免费学

千锋教育

扫一扫进入千锋手机站

领取全套视频
千锋教育

关注千锋学习站小程序
随时随地免费学习课程

当前位置:首页  >  技术干货  > 干货|可别小看了XSS漏洞

干货|可别小看了XSS漏洞

来源:千锋教育
发布人:wjy
时间: 2022-10-09 09:36:50 1665279410

  对于初了解xss漏洞的人来说,XSS漏洞的危害就是获取受害者的cookie,来进行 ‘cookie劫持’。

  今天就总结一下XSS漏洞的危害性,望安全人员不要轻视,开发人员不要忽视

  XSS漏洞简介

  XSS攻击通常指黑客通过“HTML注入”篡改网页,插入恶意脚本,从而使用户浏览网页时控制用户浏览器的一种攻击。

  例如:

可别小看了XSS漏洞1

  如果我能控制a,将a改为,

  这个地方的代码就会变成这样:

可别小看了XSS漏洞2

  就会执行script脚本,这么想我们是不是能篡改网页html文件,来让他执行我们的语句?

  第一 cookie劫持:

  如果网站存在XSS漏洞,可以通过XSS漏洞来获取用户的cookie

  危害:利用用户的cookie来进行登录用户后台

  payload:

  第二 构造GET或POST请求:

  黑客可以通过XSS漏洞,来使得用户执行GET或POST请求

  危害:可以控制用户删除数据或者发送邮件 例如GET payload:

可别小看了XSS漏洞3

  POST请求 需要线创建一个表单,然后让表单自动提交信息。

  第三 钓鱼

  我们从一开始的XSS漏洞简介可知道,XSS漏洞可以让我们对网页进行篡改,如果黑客在登录框的地方把原来的登录框隐藏一下,自己伪造一个登录框,用户在登录框上输入账号密码就会传送到黑客的服务器上

  危害:获取用户账号密码

  第四 识别用户浏览器

  通过script语句能获得用户的浏览器信息 危害:获取浏览器信息,利用浏览器漏洞进行攻击

  payload:

可别小看了XSS漏洞4

可别小看了XSS漏洞5

  第五 识别用户安装的软件

  通过script语句能够识别用户安装的软件

  危害:获取用户软件信息,利用软件漏洞进行攻击

  如下代码:

可别小看了XSS漏洞6

  第六 获得用户真实ip地址

  借助第三方软件,比如客户端安装了Java(JRE)环境,那么可以通过调用JavaApplet接口获取客户端本地IP

  第七 判断用户是否访问某个网站

  style的visited属性,访问过的链接,颜色会变化.

  第八 蠕虫

  用户之间发生交互行为的页面,如果存在存储型XSS,则容易发起XSS Worm攻击.

  如:2003年的冲击波蠕虫,利用的是Windows的RPC远程溢出漏洞

  还有百度空间蠕虫,可自行百度搜一下

  XSS绕过方式

  JS编码

  HTML编码

  URL编码

  长度绕过

  标签绕过(标签闭合,标签优先性)

  window.name利用

  Flash XSS

  利用Javascript开发框架漏洞

  利用浏览器差异

  关键字、函数

  XSS防护方法

  过滤输入的数据,非法字符

  对数据进行编码转换

  添加HttpOnly

  输入合法性检查

  白名单过滤标签

  DOM XSS防御

tags:
声明:本站稿件版权均属千锋教育所有,未经许可不得擅自转载。
10年以上业内强师集结,手把手带你蜕变精英
请您保持通讯畅通,专属学习老师24小时内将与您1V1沟通
免费领取
今日已有369人领取成功
刘同学 138****2860 刚刚成功领取
王同学 131****2015 刚刚成功领取
张同学 133****4652 刚刚成功领取
李同学 135****8607 刚刚成功领取
杨同学 132****5667 刚刚成功领取
岳同学 134****6652 刚刚成功领取
梁同学 157****2950 刚刚成功领取
刘同学 189****1015 刚刚成功领取
张同学 155****4678 刚刚成功领取
邹同学 139****2907 刚刚成功领取
董同学 138****2867 刚刚成功领取
周同学 136****3602 刚刚成功领取
相关推荐HOT