XSS漏洞及复现

一、什么是XSS

跨站脚本( Cross-site Scripting )攻击,攻击者通过网站输入框输入payload(脚本代码 ),当用户访问网页时,恶意payload自动加载并执行,以达到攻击者目的( 窃取cookie、恶意传播、钓鱼欺骗等)为了避免与HTML语言中的CSS相混淆,通常称它为“XSS”。

二、XSS的分类

反射性

特点:只执行一次,非持久型

主要存在于攻击者将payload附加到url的参数中,服务端没有经过严格的过滤输出到用户浏览器中,导致恶意代码被执行。

防范思路

可以使用str_replace()函数区分大小写

preg_replace() 利用正则过滤标签(测试发现只输出了alert(1)

XSS漏洞及复现_第1张图片

查看源码得知,过滤了后,输出为alert(1)

XSS漏洞及复现_第3张图片

查看源码发现对

你可能感兴趣的:(xss,网络,安全)