网安学习xss和php反序列后的心得

网安学习xss和php反序列后的心得

xss和Php反序列化的相同和不同点

相同:

  • 两者都依赖用户输入和用户控制的数据触发攻击
  • 用户输入的东西可能因为开发者没有过滤彻底被恶意执行 如插入jsp语句 html代码,php反序列之后使得代码嵌入服务器端之后接下来的用户再次使用就会触发攻击

不同:

  • xss攻击者在表单 url 评论等输入框中注入恶意代码 提交到客户端之后可以让其他用户访问时执行恶意代码,窃取用户的cookie等
  • php反序列化攻击者将恶意数据提交给服务器 (url post 请求 cookie)之后浏览器反序列化时候执行这些被序列化的代码 导致触发魔术方法,进而导致恶意操作(文件包含,远程代码执行)

为什么web安全中很多漏洞都存在用户将攻击通过输入框注入造成漏洞但是就是很难防护

  1. 根本原因:没有对用户输入的内容进行过滤 转义 验证 从而导致sql xss等攻击
  2. 从视觉上看 屏蔽用户输入等就可以防止被攻击 但是这样会使得用户与web应用的联系 交互 变少,使得用户的体验感降低 ,不可以发表自己的使用感觉或者意见,与其他为用户沟通等

原理:评论区通常允许用户输入文本内容,且该内容会被显示在页面上 使得其他用户也可以看到 这就需要嵌入底层代码 因此会造成漏洞

表单 中大多数提交用户的登录信息 评论提交 搜索等 数据会交给服务器进行处理,表单提交的数据可能会被用来查询数据库(例如登录时检查用户名和密码,搜索时查询相关信息)。如果开发者没有正确处理用户输入,恶意用户可以通过 SQL 注入 技巧,操控查询语句,从而访问、修改或删除数据库中的敏感数据。

相关推荐
头疼的程序员3 小时前
MySQL学习之触发器
学习·mysql
芯盾时代4 小时前
安全大模型智驱网络和数据安全效能跃迁
网络·人工智能·安全·网络安全
ThreeYear_s4 小时前
基于FPGA的PID算法学习———实现PI比例控制算法
学习·算法·fpga开发
小镇学者6 小时前
【PHP】导入excel 报错Trying to access array offset on value of type int
android·php·excel
银色的白6 小时前
工作记录:人物对话功能开发与集成
vue.js·学习·前端框架
新中地GIS开发老师7 小时前
三维GIS开发cesium智慧地铁教程(4)城市白模加载与样式控制
学习·arcgis·智慧城市·webgl·gis开发·webgis·地理信息科学
Studying 开龙wu8 小时前
机器学习监督学习实战五:六种算法对声呐回波信号进行分类
学习·算法·机器学习
软件开发技术深度爱好者8 小时前
HTML版英语学习系统
学习·html
nenchoumi31198 小时前
UE5 学习系列(二)用户操作界面及介绍
windows·学习·ue5·机器人
NULL指向我8 小时前
香橙派3B学习笔记9:Linux基础gcc/g++编译__C/C++中动态链接库(.so)的编译与使用
笔记·学习