zoukankan      html  css  js  c++  java
  • Pikachu-XSS概述(跨站脚本概述)

    XSS(跨站脚本)概述
    Cross-Site Scripting 简称为“CSS”,为避免与前端叠成样式表的缩写"CSS"冲突,故又称XSS。一般XSS可以分为如下几种常见类型:
    1.反射性XSS;
    2.存储型XSS;
    3.DOM型XSS;

    XSS漏洞一直被评估为web漏洞中危害较大的漏洞,在OWASP TOP10的排名中一直属于前三的江湖地位。
    XSS是一种发生在前端浏览器端的漏洞,所以其危害的对象也是前端用户

      XSS的危害例子:可以用来钓鱼攻击,可以获取用户的一些cookie值,或者现在比较流行的js挖矿,甚至可以结合浏览器自身的漏洞对用户主机进行远程控制
    形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理,导致“精心构造”的字符输出在前端时被浏览器当作有效代码解析执行从而产生危害。
    因此在XSS漏洞的防范上,一般会采用“对输入进行过滤”和“输出进行转义”的方式进行处理:
      输入过滤:对输入进行过滤,不允许可能导致XSS攻击的字符输入;
      输出转义:根据输出点的位置对输出到前端的内容进行适当转义;

    实验基本流程

     攻击流程

     XSS漏洞测试流程

     最后,总结下XSS防范的措施

  • 相关阅读:
    利用Python获取文件类型
    删除目录和文件
    创建目录和空文件
    读取文件内容
    sort方法
    python实例5-表格打印
    ngx.lua中遇到的小问题
    mysql 更改自动增长字段值的重新设定
    全面讲解进程池原理
    测试工程师Docker基础
  • 原文地址:https://www.cnblogs.com/escwq/p/12513933.html
Copyright © 2011-2022 走看看