网安学习xss和php反序列后的心得

网安学习xss和php反序列后的心得

xss和Php反序列化的相同和不同点

相同:

  • 两者都依赖用户输入和用户控制的数据触发攻击
  • 用户输入的东西可能因为开发者没有过滤彻底被恶意执行 如插入jsp语句 html代码,php反序列之后使得代码嵌入服务器端之后接下来的用户再次使用就会触发攻击

不同:

  • xss攻击者在表单 url 评论等输入框中注入恶意代码 提交到客户端之后可以让其他用户访问时执行恶意代码,窃取用户的cookie等
  • php反序列化攻击者将恶意数据提交给服务器 (url post 请求 cookie)之后浏览器反序列化时候执行这些被序列化的代码 导致触发魔术方法,进而导致恶意操作(文件包含,远程代码执行)

为什么web安全中很多漏洞都存在用户将攻击通过输入框注入造成漏洞但是就是很难防护

  1. 根本原因:没有对用户输入的内容进行过滤 转义 验证 从而导致sql xss等攻击
  2. 从视觉上看 屏蔽用户输入等就可以防止被攻击 但是这样会使得用户与web应用的联系 交互 变少,使得用户的体验感降低 ,不可以发表自己的使用感觉或者意见,与其他为用户沟通等

原理:评论区通常允许用户输入文本内容,且该内容会被显示在页面上 使得其他用户也可以看到 这就需要嵌入底层代码 因此会造成漏洞

表单 中大多数提交用户的登录信息 评论提交 搜索等 数据会交给服务器进行处理,表单提交的数据可能会被用来查询数据库(例如登录时检查用户名和密码,搜索时查询相关信息)。如果开发者没有正确处理用户输入,恶意用户可以通过 SQL 注入 技巧,操控查询语句,从而访问、修改或删除数据库中的敏感数据。

相关推荐
Bruce_Liuxiaowei18 分钟前
常见高危端口风险分析与防护指南
网络·网络安全·端口·信息搜集
2501_916013741 小时前
iOS 多线程导致接口乱序?抓包还原 + 请求调度优化实战
websocket·网络协议·tcp/ip·http·网络安全·https·udp
碎叶城李白2 小时前
若依学习笔记1-validated
java·笔记·学习·validated
im_AMBER2 小时前
学习日志05 python
python·学习
头发那是一根不剩了2 小时前
双因子认证(2FA)是什么?从零设计一个安全的双因子登录接口
网络安全·系统设计·身份认证
蓝色记忆3 小时前
Composer PSR-4 自动加载机制的完整流程
php
羊小猪~~3 小时前
数据库学习笔记(十七)--触发器的使用
数据库·人工智能·后端·sql·深度学习·mysql·考研
真的想上岸啊3 小时前
学习C++、QT---18(C++ 记事本项目的stylesheet)
开发语言·c++·学习
浩浩测试一下4 小时前
渗透信息收集- Web应用漏洞与指纹信息收集以及情报收集
android·前端·安全·web安全·网络安全·安全架构
rui锐rui4 小时前
大数据学习2:HIve
大数据·hive·学习