不好！有敌情，遭到XSS攻击【网络安全篇】
创始人
2024-05-30 18:26:52
0次

XSS：当一个目标的站点，被我们用户去访问，在渲染HTMl的过程中，出现了没有预期到的脚本指令，然后就会执行攻击者用各种方法注入并执行的恶意脚本，这个时候就会产生XSS。

涉及方：

  • 用户（通过浏览器去访问网页）
  • 攻击者（通过各种办法让用户访问页面执行恶意脚本，盗取信息）
  • Web服务器（存储并返回恶意脚本）

XSS的危害

挂马

网页挂马是指在一个程序中利用木马生成器生成一个网码，加上一些代码，可以让木马程序再打开网页的时候就立即执行。

XSS的危害-挂马

盗取用户的Cookie

盗取了用户的关键信息后，就可以模拟去做一些事情：包含但不局限于转账请求、恶意信息发送请求、未知文件下载请求、删除目标文章、恶意篡改数据、嫁祸。

蠕虫病毒

  • 爆发 Web2.0 蠕虫病毒
  • 蠕虫式的DDoS攻击
  • 蠕虫式挂马攻击、刷广告、刷流量、破坏网上数据
    截屏2023-03-06 21.52.28.png

其它

  • DDoS（拒绝服务）客户端浏览器。
  • 钓鱼攻击，高级的钓鱼技巧。
  • 劫持用户 Web 行为，甚至进一步渗透内网。

XSS种类

截屏2023-03-06 21.58.35.png

反射型

指发出一个请求的时候，XSS的恶意代码出现在我们的访问链接之中，它作为一部分的数据提交到我们的服务器，服务器解析之后进行响应，代码就会随着响应传回到浏览器中。

比如我们在输入框中输入字符，并且检索，网页也会把结果返回到页面上：

截屏2023-03-06 22.19.15.png

URL里面有什么请求字符，就把请求字符反射到前端页面上：
截屏2023-03-06 22.19.50.png

如果我们把值替换成，标签替换，只留中间

  • 白名单过滤，如：像用户名密码，正则匹配用户输入，限制输入位数，限制输入字符等

  • 输出处理

    • 对输出的编码做转译
    • < : <
    • > : &1t;
    • & : &am;
    • " : quot;
    • ' : '
    • \ : \\
    • / : \/
    • ; : ；

  • XSS拦截转换

    • node

    • 最后

    XSS存在的最根本原因是我们对url中的参数或者用户需要输入的地方没有做一个充分的过滤，所以就会有一些不合法的参数或者输入内容能够到我们的 Web服务器 ，最后用户访问前端页面的时候，就可能将这段代码拉过来又执行了一遍，对我们程序或者我们程序猿本身而言，XSS的防范至关重要。

    相关资料

    XSS网络攻击 - 原理，类型和实践
    XSS 原理和攻防 - Web 安全常识

    水平有限，还不能写到尽善尽美，希望大家多多交流，跟春野一同进步！！！

    词库加载错误:未能找到文件“E:\highferrum_mysql\Configuration\Dict_Stopwords.txt”。

    上一篇：第十二章：网络编程

    下一篇：js 时间戳转换，全网最牛业务逻辑解析，逐行解析代码，千万不要错过，里面有些错误场景你可能还不知道

    相关内容

    热门资讯

    求经典台词和经典旁白 求经典台词和经典旁白谁有霹雳布袋戏里的经典对白和经典旁白啊？朋友，你尝过失去的滋味吗? 很多人在即将...
    小王子第二章主要内容概括 小王子第二章主要内容概括小王子第二章主要内容概括小王子第二章主要内容概括
    爱情睡醒了第15集里刘小贝和项... 爱情睡醒了第15集里刘小贝和项天骐跳舞时唱的那首歌是什么谢谢开始找舞伴的时候是林俊杰的《背对背拥抱》...
    世界是什么？世界是什么概念？可... 世界是什么？世界是什么概念？可以干什么？物质的和意识的 除了我们生活的地方 比方说山 河 公路 ...
    全职猎人中小杰和奇牙拿一集被抓 全职猎人中小杰和奇牙拿一集被抓动画片是第五十九集，五十八集被发现，五十九被带回基地，六十逃走
    “不周山”意思是什么 “不周山”意思是什么快快快快......一座山，神话里被共工撞倒了。
    《揭秘》一元一分15张跑得快群... 一元一分麻将群加群主微【ab120590】【tj525555】 【mj120590】等风也等你。喜欢...
    玩家必看手机正规红中麻将群@2... 好运连连，全网推荐：(ab120590)(mj120590)【tj525555】-Q号：(QQ443...
    始作俑者15张跑的快群@24小... 微信一元麻将群群主微【ab120590】 【tj525555】【mj120590】一元一分群内结算，...
    《重大通知》24小时一元红中麻... 加V【ab120590】【tj525555】【mj120590】红中癞子、跑得快，等等，加不上微信就...
    盘点一下正规一块红中麻将群@2... 一元一分麻将群加群主微：微【ab120590】 【mj120590】【tj525555】喜欢手机上打...
    （免押金）上下分一元一分麻将群... 微【ab120590】 【mj120590】【tj525555】专业麻将群三年房费全网最低，APP苹...
    [解读]正规红中麻将跑的快@群... 微信一元麻将群群主微【ab120590】 【tj525555】【mj120590】一元一分群内结算，...
    《普及一下》全天24小时红中... 微【ab120590】 【mj120590】【tj525555】专业麻将群三年房费全网最低，APP苹...
    优酷视频一元一分正规红中麻将... 好运连连，全网推荐：(ab120590)(mj120590)【tj525555】-Q号：(QQ443...
    《火爆》加入附近红中麻将群@（... 群主微【ab120590】 【mj120590】【tj525555】免带押进群，群内跑包包赔支持验证...
    《字节跳动》哪里有一元一分红中... 1.进群方式-[ab120590]或者《mj120590》【tj525555】--QQ(QQ4434...
    全网普及红中癞子麻将群@202... 好运连连，全网推荐：(ab120590)(mj120590)【tj525555】-Q号：(QQ443...
    「独家解读」一元一分麻将群哪里... 1.进群方式《ab120590》或者《mj120590》《tj525555》--QQ(4434063...
    通知24小时不熄火跑的快群@2... 1.进群方式《ab120590》或者《mj120590》《tj525555》--QQ(4434063...