网安学习xss和php反序列后的心得

网安学习xss和php反序列后的心得

xss和Php反序列化的相同和不同点

相同:

  • 两者都依赖用户输入和用户控制的数据触发攻击
  • 用户输入的东西可能因为开发者没有过滤彻底被恶意执行 如插入jsp语句 html代码,php反序列之后使得代码嵌入服务器端之后接下来的用户再次使用就会触发攻击

不同:

  • xss攻击者在表单 url 评论等输入框中注入恶意代码 提交到客户端之后可以让其他用户访问时执行恶意代码,窃取用户的cookie等
  • php反序列化攻击者将恶意数据提交给服务器 (url post 请求 cookie)之后浏览器反序列化时候执行这些被序列化的代码 导致触发魔术方法,进而导致恶意操作(文件包含,远程代码执行)

为什么web安全中很多漏洞都存在用户将攻击通过输入框注入造成漏洞但是就是很难防护

  1. 根本原因:没有对用户输入的内容进行过滤 转义 验证 从而导致sql xss等攻击
  2. 从视觉上看 屏蔽用户输入等就可以防止被攻击 但是这样会使得用户与web应用的联系 交互 变少,使得用户的体验感降低 ,不可以发表自己的使用感觉或者意见,与其他为用户沟通等

原理:评论区通常允许用户输入文本内容,且该内容会被显示在页面上 使得其他用户也可以看到 这就需要嵌入底层代码 因此会造成漏洞

表单 中大多数提交用户的登录信息 评论提交 搜索等 数据会交给服务器进行处理,表单提交的数据可能会被用来查询数据库(例如登录时检查用户名和密码,搜索时查询相关信息)。如果开发者没有正确处理用户输入,恶意用户可以通过 SQL 注入 技巧,操控查询语句,从而访问、修改或删除数据库中的敏感数据。

相关推荐
电子云与长程纠缠11 分钟前
Houdini POP入门学习07 - 分组
学习·houdini
Auscy12 分钟前
JavaScript 数组学习总结
开发语言·javascript·学习
虾球xz13 分钟前
CppCon 2015 学习:Transducers, from Clojure to C++
开发语言·c++·学习
zorro_z5 小时前
启程:为何选择PHP?
php
小柯博客6 小时前
从零开始打造 OpenSTLinux 6.6 Yocto 系统(基于STM32CubeMX)(十二)
c语言·stm32·单片机·嵌入式硬件·php·嵌入式
moxiaoran57536 小时前
uni-app学习笔记二十九--数据缓存
笔记·学习·uni-app
pop_xiaoli8 小时前
OC—UI学习-2
学习·ui·ios
Lin Hsüeh-ch'in8 小时前
Vue 学习路线图(从零到实战)
前端·vue.js·学习
恰薯条的屑海鸥9 小时前
零基础在实践中学习网络安全-皮卡丘靶场(第十五期-URL重定向模块)
学习·安全·web安全·渗透测试·网络安全学习
moxiaoran575311 小时前
uni-app学习笔记三十--request网络请求传参
笔记·学习·uni-app