XSS跨站脚本攻击

1.什么是cookie？

浏览器免登录

HTTP请求方式

HTTP特点

请求应答模式

灵活可扩展

可靠传输：处于应用层有tcp

无状态：每个请求都是独立的，需要保持会话

cookie内容

key/value格式（键值对格式），例如：

name=wuya

id=99

islogin=1

cookie怎么产生

第一次访问时，浏览器向服务器发送request请求，服务器识别之后response应答，把键值对返回给浏览器，客户端接收到了cookie时进行保存，在之后的客户端访问服务器时，需要在请求中添加提供cookie表明身份

cookie格式

Set-Cookie：第一次访问，服务器响应给客户端

Cookie：之后的访问，客户端发送给服务器

（第一次访问时服务器下发的cookie）

Set-Cookie格式（一个cookie）

Cookie特点

1.明文

2.可修改

3.大小受限（视浏览器而定）

2.cookie是如何被窃取的？

Cookie的用途

1.记住密码（个别浏览器的安全退出本质上就是删除本地的cookie文件）

2.跟踪用户行为（某些记住密码等行为就是客户端点击，使得服务端生成session）

cookie保存在客户端，session保存在服务端；

只要拿到cookie就可以无账号密码的情况下登陆

重要的是如何远程拿到cookie

JavaScript语法

获取：document.cookie;

设置：document.cookie="username=wuya";

修改：

删除：

在post请求中在输入文本框中注入js代码可以执行

在get请求中，在url中注入js代码也可以执行

3.XSS的主要类型？

XSS：Cross Site Script

恶意攻击者利用web页面的漏洞，插入一些恶意代码，当用户访问页面的时候，代码就会执行，这个时候就达到了攻击的目的。

Javascript、Java、VBScript、ActiveX、Flash

反射型：非持久性的，一般为get请求

流程如图：

存储型：与反射型XSS不同，由于存储型XSS可以随评论等一同存入服务器，因此可以被持续触发利用。而在获得cookie这块二者原理大致相当，都是将cookie拼接到受攻击者控制的域名中，然后通过查看DNS日志的方式获得cookie，最后修改请求包中的cookie达到冒充受害用户的目的。

XSS危害

1.冒充身份

2.刷点击

3.弹广告

4.传播蠕虫病毒

4.如何防止XSS漏洞？

过滤

输入：

通过正则表达式匹配恶意脚本

1.识别恶意脚本，定义恶意脚本的格式

2.对脚本的各种变形也要识别

<script <Script

处理： “ ” <sc_ript

规则引擎：

WAF：web应用防火墙

输出：

HTML JS

转义<> 、 " 、 ' 、 %

echo

今日作业

存储型XSS攻击发实现流程是什么样子的？？？

XSS靶场实现

Web安全学习day01相关推荐

Web前端学习day01(HTML)
教学导航了解什么是标记语言了解HTML主要特性,主要变化以及发展趋势了解HTML的结构标签掌握HTML的主要标签(字体,图片,列表,链接,表单等标签) 1.网站信息页面 1.1需求分析: 我们 ...
Web前端学习有哪些技巧?
想要学好web前端技术,在学习过程中找到合适的方法和技巧,那么在实际学习过程中会更加的容易和快速掌握知识重点,尤其是对于初学者尤为关键,下面小编就为大家详细的介绍一下Web前端学习有哪些技巧?希望能够 ...
html 表单自动数值,web前端学习技术之对HTML5 智能表单的理解
原标题:web前端学习技术之对HTML5 智能表单的理解 Html5新增input的form属性,用于指向特定form表单的id,实现input无需放在form标签之中,即可通过表单进行提交. - t ...
Web前端学习路线分享，初学者不要错过！
在技术岗中,前端开发一直是薪资比较高的岗位. ▲北京前端工程师月均薪20.7K(职友集) 前端技术的更新迭代,导致大部分技术人员跟不上.因此越来越多的人想转型做前端开发了.毕竟想要驰骋职场,想要拿年薪 ...
Web前端学习技巧有哪些？本文给你答案
随着互联网的快速发展,web前端技术在不断的更新,有着美好前景的web前端岗位引起了很多人的关注,很多人都开始报班学习web前端技术.那么web前端学习技巧有哪些?来看看下面的详细介绍. web前端学 ...
web前端学习文档电子版_web前端小白系统入门学习
正文互联网正在改变我们的生活,前端也成了很重要的岗位之一,许多人都往前端靠拢,可又无能为力,不知所措,首先我们说为什么在编程里,大家都倾向于往前端靠呢?原因很简单,那就是,在程序员的世界里,前端开发 ...
如何使用jquery_好程序员web前端学习路线分享jQuery学习技巧
好程序员web前端学习路线分享jQuery学习技巧,jQuery在web前端学习中是一个必不可少的内容,很多小伙伴都在学习这阶段的时候遇到问题,今天我们就来聊一下jQuery,让我们一起来看一看吧! ...
Spring Web Service 学习之Hello World篇
http://fuxueliang.iteye.com/blog/175184 Spring Web Service是Spring社区基于Spring提供的一个关注于创建"文档驱动" ...
【Java Web开发学习】Spring4条件化的bean
[Java Web开发学习]Spring4条件化的bean 转载:https://www.cnblogs.com/yangchongxing/p/9071960.html Spring4引入了@Con ...

Web安全学习day01