XSS一-WEB攻防-XSS跨站&反射型&存储型&DOM型&标签闭合&输入输出&JS代码解析

演示案例:

  • XSS跨站-输入输出-原理&分类&闭合
  • XSS跨站-分类测试-反射&存储&DOM
复制代码
#XSS跨站-输入输出-原理&分类&闭合`
`漏洞原理:接受输入数据,输出显示数据后解析执行`
`基础类型:反射(非持续),存储(持续),DOM-BASE`
`拓展类型:jquery,mxss,uxss,pdfxss,flashxss,上传xss等`
`常用标签:https://www.freebuf.com/articles/web/340080.html`
`攻击利用:盲打,COOKIE盗取,凭据窃取,页面劫持,网络钓鱼,权限维持等`
`安全修复:字符过滤,实例化编码,http_only,CSP防护,WAF拦截等`
`测试流程:看输出想输入在哪里,更改输入代码看执行(标签,过滤决定)`

`#XSS跨站-分类测试-反射&存储&DOM`
`-数据交互的地方`
`    get、post、headers`
`    反馈与浏览`
`    富文本编辑器`
`    各类标签插入和自定义`
`-数据输出的地方`
`    用户资料`
`    数据输出`
`    评论,留言等`
`    关键词、标签、说明`
`    文件上传`

`-反射型XSS:(某案例测试)`
`常见情况是攻击者通过构造一个恶意链接的形式,诱导用户传播和打开,`
`由于链接内所携带的参数会回显于页面中或作为页面的处理数据源,最终造成XSS攻击。`

`-存储型XSS:(某案例测试)`
`存储型XSS是持久化的XSS攻击方式,将恶意代码存储于服务器端,`
`当其他用户再次访问页面时触发,造成XSS攻击。`

`-DOM-base型XSS:(某案例测试)`
`通过修改原始的客户端代码,受害者浏览器的DOM环境改变,导致有效载荷的执行。`
`页面本身没有变化,但由于DOM环境被恶意修改,有客户端代码被包含进了页面并执行。`
`
相关推荐
Ariel_提拉米苏1 分钟前
表格数据导出为Excel
前端·javascript·vue.js·excel
金丝猴也是猿5 分钟前
如何在Flutter上实现高性能的动态模板渲染
websocket·网络协议·tcp/ip·http·网络安全·https·udp
swift开发pk OC开发8 分钟前
Flutter性能优化细节
websocket·网络协议·tcp/ip·http·网络安全·https·udp
网络抓包与爬虫10 分钟前
Flutter 环境搭建、常用指令、开发细节
websocket·网络协议·tcp/ip·http·网络安全·https·udp
weixin_4541024625 分钟前
cordova android12+升级一些配置注意事项
android·前端·cordova
半路_出家ren27 分钟前
网络安全设备介绍:防火墙、堡垒机、入侵检测、入侵防御
安全·网络安全·负载均衡·堡垒机·防火墙·网络安全设备·上网行为管理
BillKu1 小时前
node.js、npm相关知识
前端·npm·node.js
靠近彗星1 小时前
基于 Vue + Django + MySQL 实现个人博客/CMS系统
前端·vue.js·python·mysql·django
予安灵1 小时前
《白帽子讲 Web 安全》之服务端请求伪造(SSRF)深度剖析:从攻击到防御
前端·安全·web安全·网络安全·安全威胁分析·ssrf·服务端请求伪造
ccc_9wy1 小时前
玄机-第六章 流量特征分析-常见攻击事件 tomcat的测试报告
网络安全·tomcat·玄机靶场·攻击流程·溯源分析·定时任务反弹shell·gobuster