【网络安全】跨站脚本攻击(XSS)

专栏文章索引:网络安全

有问题可私聊:QQ:3375119339

目录

一、XSS简介

二、XSS漏洞危害

三、XSS漏洞类型

1.反射型XSS

2.存储型XSS

3.DOM型XSS

四、XSS漏洞防御


一、XSS简介

XSS(Cross-Site Scripting)

  • XSS 被称为跨站脚本攻击,由于和CSS重名,所以改为XSS。
  • XSS 主要使用 javascript , javascript 可以非常灵活的操作 html、css 和 浏览器。
  • XSS 就是将 恶意代码 注入到 网页 中,以达到攻击的效果。

当用户访问被XSS注入的网页,XSS代码就会被提取出来,用户浏览器就会解析这段XSS代码,也就是说用户被攻击了

用户最简单的动作就是使用浏览器上网,并且浏览器中有javascript解释器,可以解析javascript,然而浏览器不会判断代码是否恶意。

那里容易存在XSS漏洞?

微博、留言板、聊天室等等收集用户输入的地方,都有遭受XSS的风险,只要没有对用户的输入进行严格过滤,就会被XSS。

二、XSS漏洞危害

  • 盗取各种用户账号
  • 窃取用户Cookie资料,冒充用户身份进入网站
  • 劫持用户会话,执行任意操作
  • 刷流量,执行弹窗广告
  • 传播蠕虫病毒

三、XSS漏洞类型

1.反射型XSS

搜索框,用户登录

非持久性、参数跨站脚本

窃取用户cookie或进行钓鱼欺骗

实验环节:

2.存储型XSS

留言板、评论、博客日志

持久性跨站脚本,更具威胁性

渗透网站、挂马、蠕虫病毒、钓鱼

实验环节:

3.DOM型XSS

四、XSS漏洞防御

对XSS的防御需要根据实际情况对用户的输入进行严格的过滤。基于过滤的XSS防御方式通常可分为两种:基于黑名单的过滤和基于白名单的过滤。后者的防御效果往往更好,对于用户在白名单之外的输入,可以直接忽略。在构造白名单的过程中需要保证在不影响用户体验的同时,尽可能杜绝一切不必要的输入内容。


相关推荐
lingggggaaaa2 小时前
小迪安全v2023学习笔记(一百三十四讲)—— Windows权限提升篇&数据库篇&MySQL&MSSQL&Oracle&自动化项目
java·数据库·windows·笔记·学习·安全·网络安全
FreeBuf_4 小时前
Spring两大漏洞可导致泄露敏感信息及安全防护绕过(CVE-2025-41253/41254)
java·安全·spring
南一Nanyi5 小时前
才知道 DNS 还能基于 HTTPS 实现!
网络协议·安全·面试
Bruce_Liuxiaowei6 小时前
Win7虚拟机加入域错误排查指南:解决无法启动服务问题
运维·网络·windows·安全·网络安全
申耀的科技观察7 小时前
【观察】Cyber Resilience网络弹性筑基,主动防御铸盾,戴尔科技重构企业安全防护体系
网络·科技·安全·重构
kali-Myon11 小时前
NewStarCTF2025-Week1-Misc
安全·ctf·misc
数字供应链安全产品选型17 小时前
国家级!悬镜安全入选两项“网络安全国家标准应用实践案例”
人工智能·安全·web安全
鹿鸣天涯21 小时前
商用密码应用安全性评估
网络·安全·web安全
骥龙1 天前
2.5、物联网设备的“免疫系统”:深入解析安全启动与可信执行环境
物联网·安全
jieyu11191 天前
xxe靶场通关
安全·web安全