XSS的原理分析与解剖
前端安全 -- XSS攻击
web大前端开发中一些常见的安全性问题
1、前言
XSS 是面试时，hr提出来给我的，然后大体的浏览一遍，今天才查阅资料大体了解了它。
XSS 攻击：攻击者向HTML页面传入恶意的HTML或JS代码，当用户浏览该页面时，恶意代码执行，达到攻击的目的。
在本地搭建PHP环境（使用phpstudy安装），然后在index.php文件中输入一下代码：
XSS原理重现
php header("X-XSS-Protection: 0"); // 0： 表示关闭浏览器的XSS防护机制 error_reporting(0); // 加上error_reporting(0);就不会弹出警告了 $xss = $_GET['xss_input']; echo '
你输入的字符为
'.$xss; ?>
之后查看页面代码，就会发现页面上多了一行代码：
DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>XSS原理重现title>
head>
<body>
<form action="" method="get">
<input type="text" name="xss_input">
<input type="submit">
form>
<hr>
/*------多了的代码：123-------*/
<h5>你输入的字符为h5><br />123body>
html>
现在页面就显现出xss漏洞了。
之后查看页面代码，就会发现页面上多了一行代码：
DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>XSS原理重现title>
head>
<body>
<form action="" method="get">
<input type="text" name="xss_input">
<input type="submit">
form>
<hr>
/*------多了的代码：<script>alert('xss')script>-------*/
// 代码出现在 br标签 和 body标签中
<h5>你输入的字符为h5><br /><script>alert('xss')script>body>
html>
现在我要改变 xss 攻击：
以上测试是在，标签中插入scrpit标签达到攻击的目的；现在我想要在html页面标签的属性中插入xss攻击代码。因此，当你我输入，不会显示出弹框了。
3.1测试代码
XSS利用输出的环境来构造代码 把我们输入的字符串 输出到input里的value属性里
php header("X-XSS-Protection: 0"); error_reporting(0);//加上error_reporting(0);就不会弹出警告了 $xss = $_GET['xss_input_value']; if(isset($xss)){ echo '$xss.'">'; }else{ echo ''; } ?>
页面效果：
当我在输入框输入qwer字符串时，会在输出框显示我输入的字符串：
此时网页代码：
<center> <h6>把我们输入的字符串 输出到input里的value属性里h6> <form action="" method="get"> <h6>请输入你想显现的字符串h6> <input type="text" name="xss_input_value" value="输入"><br> <input type="submit"> form> <hr> <input type="text" value="qwer"> center>
现在我输入，字符串正常输入，明显的可以看到，并没有弹出对话框：
此时网页代码：
<body> <center> <h6>把我们输入的字符串 输出到input里的value属性里h6> <form action="" method="get"> <h6>请输入你想显现的字符串h6> <input type="text" name="xss_input_value" value="输入"><br> <input type="submit"> form> <hr> <input type="text" value=""> center> body>
分析输出代码：
<input type="text" value=""> center>
如果我输入">，就会变成：
<input type="text" value=""> "> center>
如果我输入：">
显示效果：
现在我不想显示弹框攻击了，我想触发某种事件实现攻击，那么就输入以下内容：
" onmousemove="alert('我就测试一下')"
显示结果：
页面代码：
<center> <h6>把我们输入的字符串 输出到input里的value属性里h6> <form action="" method="get"> <h6>请输入你想显现的字符串h6> <input type="text" name="xss_input_value" value="输入"><br> <input type="submit"> form> <hr> <input type="text" value="" onmousemove="alert('我就测试一下')""> center>
那么，我在