xss攻击之盗取账号

XSS攻击：跨站脚本攻击（Cross Site Scripting），是一种用javascript脚本写的攻击方式

一般测试，我们会在运行的一段代码中写入一段javascript代码，在程序运行的的时候它会显示出来：

<?php
public function index()
{$str = "<sctipt>alert('aa')<script>";$arr = 'basdjso';$bre = $str.$arr;print_r($bre);
}

这时，运行此方法，页面上不但会输出$arr的值，而且还会出现弹框，显示‘aa’字样，这样，我们就完成了一次简单的xss攻击

xss攻击一般都会危害哪些方面呢：

1.盗取账号

2.非法转账

3.篡改系统信息

4.网站挂马

此篇我们主要说一下“盗取账号”如何实现

一. 比如我们将如下代码添加到我们写的一篇博客中，那么当别的用户点击后，他的cookie信息就会被保存在这个预先设定好的txt文件中，我们就能获取到他的登录信息了，那......真的是这样吗

二. 由上图两句代码，我们延伸出以下几个问题:

1) document.cookie得到的cookie是怎么样的

2）index.php是怎么处理cookie值的

3）有了cookie是怎么盗取账号的

带着疑问我们继续看：（解答）

1）在浏览器这个地方可以看到cookie值

或者，这样也可以

2）经测试，上图就是比较长的那条就是登陆cookie，那我们怎么才能获取到这个数据呢，以上有记录我们把cookie保存在一个文件中，那么我们看看这个文件中有没有

我们可以看到，是没有的，那么为什么没有呢，又该怎么获取到呢

重新访问登陆后页面，在第一条访问链接点开后，就可以获取到登录cookie了

3）为了证实是怎么盗取别人账号的，我们换个浏览器，输入登录cookie测试一下，这次换用ie浏览器

运行后发现，用户已处于登录状态，这时已完成一次盗用账号的操作了

补充：

为什么在记录cookie的文件里没有登录cookie呢

xss攻击之盗取账号相关推荐

首次成功实施 XSS 攻击，盗取目标网站大量 VIP 帐号
前言之前做网站时有做代码防御 XSS(Cross Site Script) 攻击,但是却只处于了解的阶段,并不知道其中具体的原理,更别说使用了.最近有朋友要求我帮助他 Hack 一个网站,达到一定的 ...
神不知鬼不觉的信息盗取-XSS攻击技术
那些XSS的江湖传说江湖上充斥着众多 XSS 的江湖传说.从[新浪微博]被人利用XSS获取大量粉丝,到[百度贴吧]被人利用XSS爆吧:从[人人]被人利用XSS表白妹子,到[3DM]曾被利用XSS,对 ...
html获取cookie_知了汇智《XSS攻击-盗取cookie实战》课程文档讲解
文章来源:知了汇智冯老师今天是<web安全-XSS攻击>系列的最后一篇啦,希望大家好好学习哦~ XSS之知了汇智-禁卫实验室(GoDun.F) 1. 编写获取cookie的代码cook ...
Web安全系列（二）：XSS 攻击进阶（初探 XSS Payload）
什么是 XSS Payload 上一章我谈到了 XSS 攻击的几种分类以及形成的攻击的原理,并举了一些浅显的例子,接下来,我就阐述什么叫做 XSS Payload 以及从攻击者的角度来初探 XSS 攻 ...
前端安全 -- XSS攻击
XSS漏洞是最广泛.作用最关键的web安全漏洞之一.在绝大多数网络攻击中都是把XSS作为漏洞链中的第一环,通过XSS,黑客可以得到的最直接利益就是拿到用户浏览器的cookie,从而变相盗取用户的账号密 ...
SQL注入和XSS攻击的原理
8.4 Web跨站脚本攻击 8.4.1 跨站脚本攻击的原理(1) 跨站脚本在英文中称为Cross-Site Scripting,缩写为CSS.但是,由于层叠样式表 (Cascading Style ...
tp中如何防止mysql注入_thinkphp如何防止sql注入xss攻击
SQL注入简介 SQL 注入漏洞(SQL Injection)是 Web 开发中最常见的一种安全漏洞.可以用它来从数据库获取敏感信息,或者利用数据库的特性执行添加用户,导出文件等一系列恶意操作,甚至有 ...
安全测试之xss攻击和mysql注入
xss概念: xss(Cross Site Script)跨站脚本攻击,为不和层叠样式表(css)混淆,写为xss 存在位置:web应用系统最常见软件安全漏洞后果:代码植入到系统页面,篡改数据.盗取 ...
如何php防止XSS攻击
什么是XSS:这里通俗的讲,就像是SQL注入一样,XSS攻击也可以算是对HTML和JS的一种注入.你本来希望得到是从用户那得到一段有用的文本文字,但用户提交给你的却是别有用心的可执行javascrip ...

xss攻击之盗取账号

xss攻击之盗取账号相关推荐

最新文章

热门文章