XSS学习-初出茅庐

XSS: 又叫跨站***，根据***类型分为以下三类：

1. 反射型 XSS -服务端没有把用户的输入数据进行标签过滤，直接在页面上输出。可能存在恶意代码的链接，诱导其他人点击进而实施***；

2. 存储型 XSS - 常见于博客系统中，***将含有恶意代码的数据直接写入文章、评论中存储在服务器数据库中，所有浏览这个文章，查看这个的用户都会在浏览器上插入带有恶意***代码。

3. 基于DOM的 XSS跨站脚本***-通过修改DOM节点数据信息而形成的XSS***。

XSS在线竞赛平台：http://xss-quiz.int21h.jp

解题思路：

http://blog.csdn.net/yd0str/article/details/17297971

XSS防范:

1. 利用HttpOnly ，HttpOnly是在set-cookie时进行标记，这样的标记使得浏览器将禁止页面的JavaScript访问这类Cookie，解决了***利用脚本盗用cookie会话行为；引用于PHP源码文档中的说明：

* @param httponly bool[optional] <p>

* When true the cookie will be made accessible only through the HTTP

* protocol. This means that the cookie won't be accessible by

* scripting languages, such as JavaScript. This setting can effectively

* help to reduce identity theft through XSS attacks (although it is

* not supported by all browsers). Added in PHP 5.2.0.

* true or false

示例展示图片如下:

图一：开启了HttpOnly 后，没用从JavaScript中读到cookie信息

2. 完善的输入输出检查

防范基于反射型XSS 和存储型XSS:

必要的输入检查，对帐号密码信息等输入数据的合法性检查。比如：只允许下划线，字母，数字等数据规范，不允许不合规范的数据输入。

必要的输出检查，对取出来的信息进行HTML编码处理，将可能存在导致XSS跨站脚本***的恶意字符进行编码，对某些可能造成XSS***的字符进行过滤。

防范基于DOM的XSS:

依然把用户要展现出来的信息进行编码处理，输入的数据进行合法检测。

小结：初步了解XSS，慢慢学习ing!!

转载于:https://blog.51cto.com/longcong/1387034

XSS学习-初出茅庐相关推荐

XSS学习-pikachu靶场之xss
XSS漏洞介绍跨站脚本攻击(Cross Site Scripting),为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS.恶意攻击 ...
XSS学习-XSS挑战之旅(二)
前言:之前打XSS平台时,打到了第11关就没有继续了,现在有空了就继续打咯,再增加点关于XSS的知识. 第十一关这关坑我好长时间,看了好多博客直接给说修改Referer,给截图中都有自带的Refer ...
XSS学习笔记（一）
学习来源:https://edu.51cto.com/course/14449.html 靶场地址:https://github.com/zhuifengshaonianhanlu/pikachu 一 ...
XSS学习笔记(未完)
XSS基础学习 1. XSS 1.1 客户端Cookie: 1.2 XSS攻击类型 1.3 工具/平台 1.4 利用方式 1.4.1 非手工方式 1.4.1.1自动化攻击:beef 1.4.2 手工方 ...
XSS学习笔记：XSS Challenges 1-19通关全详解
前言学习下XSS 主要是XSS Challenges 平台共19关模仿真实xss挖洞的情景,用浏览器中的f12中搜索,找出我们控制的代码所在的位置思考那些个位置哪个或哪几个位置可以被注入我们想 ...
XSS学习笔记：XSS Game（xss.pwnfunction.com）1-11通关全解
前言继续学习XSS 本篇是XSS Game平台的通关全解 1.Ma Spaghet! 源码一个不安全的方式直接get传输somebody 输入123看看位置 ?somebody=123 那就很简 ...
Flash XSS 学习整理
0x00 Flash XSS 本来想放弃的,问了大佬,还是说可以研究下...所以硬着头皮来弄了. 什么是flash xss? xss一是指执行恶意js,那flash xss呢?是因为flash有可以调 ...
xss漏洞学习心得（泪目）
XSS学习心得大杂烩背景 xss的定义 xss漏洞的分类 xss绕过技巧payload 常见的有: 绕过payload 背景领导给了我一些资产让我去测试,发现其中藏有不少的xss漏洞,含泪做一个总 ...
XSS漏洞基础学习（笔记）
包含一些基础的XSS学习. XSS跨站脚本分类 XSS漏洞介绍跨站脚本攻击(Cross Site Scripting),为了不和层叠样式表(Cascading Style Sheets,CSS)的缩 ...

XSS学习-初出茅庐

XSS学习-初出茅庐相关推荐

最新文章

热门文章