XSS简介

XSS简介_第1张图片

OWASP TOP 10

OWASP(开放式Web应用程序安全项目)的工具,文档,论坛额全球各地分会都是开放的,对所有致力于改进应用程序安全的人士开放,最具权威的就是10项目最严重的Web应用程序安全风险列表

Cross Site Scripting(XSS)

跨站脚本攻击是指恶意攻击者往Web页面里插入恶意的Script代码,当用户浏览该页面之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户的目的

xss漏洞通常是用过php的输出函数将JavaScript代码输出到html页面中,通过用户本地浏览器执行的,所以在代码审计中xss漏洞关键就是寻找参数未过滤的输出函数

XSS分类

反射型XSS<非持久化>

攻击者事先制作好攻击链接,需要欺骗用户自己去点击链接才能触发XSS代码,一般容易出现在搜索页面。DOM信号型XSS由于危害较小,我们将其归为反射型XSS。

存储型XSS<持久化>

代码吃存储在服务器中的,如在个人信息或发表文章等地方,加入代码,如果没有过滤或过滤不严,那么这些代码将存到服务器中,每当有用户访问该页面的时候都会触发代码执行,这种XSS非常危险,容易造成蠕虫,大量盗窃cookie(虽然还有种DOM型XSS,但是也还是包括在存储型XSS内)

你可能感兴趣的:(安全)