xss(跨站脚本攻击)简单示例

在文本框里面输入如下内容

点一下你就完了

 

xss.php里面只要一行代码

echo $_POST['tt'];

 

ie8中用httpwatch（到这里下载）可以看到，点击“点一下你就完了”时就可以看到发送了一个不善意的http请求。

 

试想一个场景：如果攻击者在某个网站的发布了一个帖子，内容就是上面的，那么无辜的用户只要点击了“点一下你就完了”这个链接，就会自动发送个人信息给攻击者。

 

问题的解决是比较简单的，过滤掉script标签以及标签里面的内容即可，靠谱点的系统应该是客户端和服务端都去掉script标签：

 $str = preg_replace('/]*?>.*?<\/script>/i', '', $str);

在chrome浏览器中，当点击“点一下你就完了”时，不会发送攻击者想要的http请求，也就是说不会执行攻击者提交的javascript代码，这也充分证明了chrome浏览器是比较安全的。