php面试题分享（四）

1.什么是XSS？

　　XSS的全称是Cross Site Script（跨站点脚本）

　　XSS的原理很简单，即进行脚本注入，URL执行时即把此脚本进行了执行，一般都是JavaScript脚本。

如“http://www.cnblogs.com/javame/index.asp?IDClass=2&ClassName=abc”

改成“http://www.cnblogs.com/javame/index.asp?IDClass=2&ClassName=abc”

看看有没弹出对话框显示hello，有的话就有跨站漏洞。

　　在URL中进行XSS注入，也就是把URL中的参数改成js脚本。

2.

什么是SQL注入？

　　SQL注入全称是SQL Injection ，当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击，如查询、插入数据时。

　　测试方法： URL中写入SQL注入语句，看是否被执行

如：www.cnblogs.com/javame这个网站中，选择登陆

设置用户名为 admin ' or '1'='1 密码为任意数字 ，点击登录就可以登陆。

　　一般情况下要进行SQL注入攻击，需要对数据库类型、表名、判断逻辑、查询语句等比较清楚才能够写出有效的SQL注入语句。