8、XSS攻击的防御pdf资料_跨站脚本攻击防御手段资源-CSDN文库

需积分: 5 65 浏览量 2023-10-15 20:03:46 上传评论收藏 2.29MB PDF 举报

资源推荐

资源详情

资源评论

一、XSS

什么是xss漏洞？

SS作为OWASP TOP 10 之一

XSS被称为跨站脚本攻击(Cross-site scripting),本来应该缩写为CSS,但是由于和CSS(Cascading Style

Sheets,层叠样式脚本)重名，所以更名为XSS。XSS(跨站脚本攻击) 主要基于javascript (JS) 完成恶意的攻

击行为。

JS可以非常灵活的操作html，css和浏览器，这使得XSS攻击的"想象"空间特别大。XSS通过将精心构造的

代码(JS)代码注入到网页中，并由浏览器解释运行这段JS代码，以达到恶意攻击的效果。

当用户访问被XSS脚本注入的网页，XSS脚本就会被提取出来，用户浏览器就会解析这段XSS代码，也就

是说用户被攻击了。用户最简单的动作就是使用浏览器上网，并且浏览器中有javascrit解释器，可以解

析javascript，然而浏览器不会判断代码是否恶意。也就是说，XSS的对象是用户和浏览器。

2XSS漏洞发生在哪里?

服务器

微博、留言板、聊天室等等收集用户输入的地方都有可能被注入XSS代码，都存在遭受XSS的风险，只要

没有对用户的输入进行严格过滤，就会被XSS

1.3 XSS的危害

XSS利用JS代码实现攻击，有很多种攻击方法，以下简单列出几种

@ 盗取各种用户账号

@ 窃取用户Cookie资料，冒充用户身份进入网站

@ 劫持用户回话，执行任意操作

@ 刷流量，执行弹窗广告

@ 传播蠕虫病毒

XSS Platform 根据各种需求生成 XSS攻击代码比如说获得管理员Cookie 等等

获得管理员cookie 就可以直接访问后台了

1.4 XSS的分类

XSS漏洞大概可以分为三个类型:反射型XSS、存储型XSS、DOM型XSS

反射型XSS（用户触发）

反射型XSS是非持久性、参数型的跨站脚本

反射型XSS的JS代码在Web应用的参数(变量)中，如搜索框的反射型XSS

java中反射型XSS

就是通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特定的代码参数会被HTML解

析、执行。

存在欺骗性，把存在反射型XSS漏洞的地址发给你，你点击了，造成XSS的攻击。

例如：利用EL表达式，EL表达式可以通过后台数据取值（这个时候是不能修改的），它地址栏取值这

个时候就可以使用XSS进行攻击

如果参数由后端生成，并且前台改不掉，那就不存在这种漏洞

本内容试读结束，登录后可阅读更多

下载后可阅读完整内容，剩余7页未读，立即下载

内容反馈

xiaoli8748_软件开发

粉丝: 3428
资源: 1341

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈

feedback-tip