摘要：原理恶意攻击者往页面里插入恶意代码，当用户浏览该页之时，嵌入其中里面的代码会被执行，从而达到恶意攻击用户的目的。常见场景一些私人的博客，攻击者恶意评论，弹出，这种充其量也就是一个玩笑。
前段时间在网上看到一个网址，好奇之下进去看了看。胜利的条件是你录入一个串，让其调用prompt(1) 。发现里面有好多想不到的东西，今天终于悠闲了来这里说说XSS。
XSS 原理恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS 常见场景一些私人的博客，攻击者恶意评论，弹出alert，这种充其量也就是一个玩笑。但是如果是盗窃cookie，异常提交请求，这些就比较难受了。
prompt(1)chrome 版本 62.0.3202.75（正式版本） （64 位）
function escape(input) {
// warm up
// script should be executed without user interaction
return "";
} 第一个
这是一个开胃菜，没有做任何校验，这种不设防的在现在已经很少了。他把值直接拼入字符串，组成一个DOM input标签，那我们只要正确的把标签闭合掉就可以调用了。
">,拼出来的字符串为">，这样就等于插入了我们的代码。
function escape(input) {
// tags stripping mechanism from ExtJS library
// Ext.util.Format.stripTags
var stripTagsRE = /]+>/gi;
input = input.replace(stripTagsRE, "");
return "" + input + " ";
}第二个
这个已经提升难度了，/]+>/gi匹配<>标签内的所有东西,如输入转换过后会出现prompt(1)，内容里面的标签被替换掉了。所以这个我们去尝试不闭合标签，让浏览器自己去容错。
|on.+?=|focus/gi, "_");
return "";
}
第六个
/>|on.+?=|focus/gi替换了>、onxxxx=和focus。通过input特殊的type类型。
`"type=image src onerror
="prompt(1)`
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/54508.html
摘要：但最近又听说了另一种跨站攻击，于是找了些资料了解了一下，并与放在一起做个比较。脚本中的不速之客全称跨站脚本，是注入攻击的一种。 XSS：跨站脚本（Cross-site scripting） CSRF：跨站请求伪造（Cross-site request forgery） 在那个年代，大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用，于是 SQL 注入成了很流行的攻击方式。...
摘要：原理恶意攻击者往页面里插入恶意代码，当用户浏览该页之时，嵌入其中里面的代码会被执行，从而达到恶意攻击用户的目的。常见场景一些私人的博客，攻击者恶意评论，弹出，这种充其量也就是一个玩笑。 前段时间在网上看到一个网址，好奇之下进去看了看。胜利的条件是你录入一个串，让其调用prompt(1) 。发现里面有好多想不到的东西，今天终于悠闲了来这里说说XSS。 XSS 原理 恶意攻击者往Web页面...
摘要：原理恶意攻击者往页面里插入恶意代码，当用户浏览该页之时，嵌入其中里面的代码会被执行，从而达到恶意攻击用户的目的。常见场景一些私人的博客，攻击者恶意评论，弹出，这种充其量也就是一个玩笑。 前段时间在网上看到一个网址，好奇之下进去看了看。胜利的条件是你录入一个串，让其调用prompt(1) 。发现里面有好多想不到的东西，今天终于悠闲了来这里说说XSS。 XSS 原理 恶意攻击者往Web页面...
摘要：跨站脚本攻击跨站脚本攻击为了不和层叠样式表缩写混淆，所以将跨站脚本攻击缩写为。而始终被蒙在鼓里。大大增强了网页的安全性减少注意这里是减少而不是消灭跨站脚本攻击。 XSS跨站脚本攻击： XSS 跨站脚本攻击(Cross Site Scripting),为了不和层叠样式表（Cascading Style Sheets,CSS）缩写混淆， 所以将跨站脚本攻击缩写为XSS。 XSS是攻击者在w...
摘要：网络黑白一书所抄袭的文章列表这本书实在是垃圾，一是因为它的互联网上的文章拼凑而成的，二是因为拼凑水平太差，连表述都一模一样，还抄得前言不搭后语，三是因为内容全都是大量的科普，不涉及技术也没有干货。 《网络黑白》一书所抄袭的文章列表 这本书实在是垃圾，一是因为它的互联网上的文章拼凑而成的，二是因为拼凑水平太差，连表述都一模一样，还抄得前言不搭后语，三是因为内容全都是大量的科普，不涉及技术...
阅读 1883·2023-04-25 19:15
阅读 2037·2021-11-23 09:51
阅读 1006·2021-11-17 09:33
阅读 1989·2021-08-26 14:15
阅读 2265·2019-08-30 15:54
阅读 1414·2019-08-30 15:54
阅读 2017·2019-08-30 12:50
阅读 1012·2019-08-29 17:08
