网安学习xss和php反序列后的心得

网安学习xss和php反序列后的心得

xss和Php反序列化的相同和不同点

相同:

  • 两者都依赖用户输入和用户控制的数据触发攻击
  • 用户输入的东西可能因为开发者没有过滤彻底被恶意执行 如插入jsp语句 html代码,php反序列之后使得代码嵌入服务器端之后接下来的用户再次使用就会触发攻击

不同:

  • xss攻击者在表单 url 评论等输入框中注入恶意代码 提交到客户端之后可以让其他用户访问时执行恶意代码,窃取用户的cookie等
  • php反序列化攻击者将恶意数据提交给服务器 (url post 请求 cookie)之后浏览器反序列化时候执行这些被序列化的代码 导致触发魔术方法,进而导致恶意操作(文件包含,远程代码执行)

为什么web安全中很多漏洞都存在用户将攻击通过输入框注入造成漏洞但是就是很难防护

  1. 根本原因:没有对用户输入的内容进行过滤 转义 验证 从而导致sql xss等攻击
  2. 从视觉上看 屏蔽用户输入等就可以防止被攻击 但是这样会使得用户与web应用的联系 交互 变少,使得用户的体验感降低 ,不可以发表自己的使用感觉或者意见,与其他为用户沟通等

原理:评论区通常允许用户输入文本内容,且该内容会被显示在页面上 使得其他用户也可以看到 这就需要嵌入底层代码 因此会造成漏洞

表单 中大多数提交用户的登录信息 评论提交 搜索等 数据会交给服务器进行处理,表单提交的数据可能会被用来查询数据库(例如登录时检查用户名和密码,搜索时查询相关信息)。如果开发者没有正确处理用户输入,恶意用户可以通过 SQL 注入 技巧,操控查询语句,从而访问、修改或删除数据库中的敏感数据。

相关推荐
waveee1238 分钟前
学习嵌入式的第三十三天-数据结构-(2025.7.25)服务器/多客户端模型
服务器·数据结构·学习
技术卷1 小时前
详解力扣高频SQL50题之1164. 指定日期的产品价格【中等】
sql·leetcode·oracle
努力自学的小夏1 小时前
RK3568 Linux驱动学习——Linux驱动开发准备工作
linux·驱动开发·笔记·学习
淮北4942 小时前
C++学习(线程相关)
jvm·学习
广东小62 小时前
昇思学习营-【模型推理和性能优化】学习心得_20250730
学习·性能优化
看天走路吃雪糕3 小时前
墨者:通过手工解决SQL手工注入漏洞测试(PostgreSQL数据库)
数据库·sql·postgresql·sql注入·墨者靶场
看天走路吃雪糕4 小时前
墨者:SQL注入漏洞测试(布尔盲注)
数据库·sql·sqlmap·墨者学院·布尔盲注
大白玉米6 小时前
短视第三套多功能主题3.0二开模板苹果CMS插件重构版
重构·php
sssammmm6 小时前
AI入门学习-模型评估示例讲解
人工智能·学习
技术卷6 小时前
详解力扣高频SQL50题之610. 判断三角形【简单】
sql·leetcode·oracle