xss攻击学习笔记

时间 2021-01-02

标签 php web 安全服务器 cookie xss post url code 栏目 JavaScript 繁體版

原文原文链接

1、xss攻击

xss攻击（Cross Site Scripting）全称跨站脚本攻击。经过嵌入恶意脚本代码到正常的用户能访问到的网页。当用户正常访问该页面时，执行恶意代码。是很是广泛的一种web漏洞。xss攻击可窃取cookie信息，监听用户行为，威胁web服务器安全，危害极大。

好比说HTML超文本标记语言中<>标识开始，在动态页面中插入<Javascript脚本语言>，使得网页误觉得插入了HTML语言，而成功执行Javascript脚本语言。xss攻击就利用了xss漏洞，执行脚本语言。php

反射型xss攻击是非持久型的，只执行一次。常见于诱导用户点击的恶意连接。web

如：恶意连接安全

https://aa.com/error.php?message=<script>alert(''xss攻击''）;</script>

攻击者将带有恶意连接的Email发送给用户，用户点击url，进入该页面，执行嵌入在url中的Javascript脚本代码

<script>alert(''xss攻击''）;</script>，

最后跳出弹框“xss攻击”。

若是咱们吧改为其余的更有恶意的脚本代码，咱们能够轻松获取用户cookie。服务器

>存储型xss攻击是持久型的。会直接威胁web服务器安全，无需用户点击特定的url就可执行脚本攻击。
常见于页面数据交汇处，如：评论，修改用户信息，登陆，留言板，搜索等地方。
攻击者将脚本代码嵌入留言区等，提交到服务器，其余用户登陆时也会执行该脚本代码。cookie

<body onload="alert('xss')"></body>xss

<p onclick="alert('1')" style="postion:fixed;width:100%;heith:100%"> </p>post

<input onfocus="alert('1')" autofocus/>url