安全攻击 --- XSS攻击-Toy模板网

这篇具有很好参考价值的文章主要介绍了安全攻击 --- XSS攻击。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

XSS跨站脚本攻击

（1）简介

OWASP TOP 10 之一，XSS被称为跨站脚本攻击（Cross-Site-Scripting）
主要基于JavaScript（JS）完成攻击行为
XSS通过精心构造JS代码注入到网页中，并由浏览器解释运行这段代码，以达到恶意攻击的效果。用户访问被XSS脚本注入的网页，XSS脚本就会被提取出来，用户浏览器解析这段XSS代码，即用户被攻击了
收集用于信息收入的地方，都有可能被注入XSS代码，只要没对用户输入存在严格的过滤，都可能被XSS

（2）危害

盗取各类账号，如：机器登录账号、用户网银账号、各类管理员账号
控制企业数据，如：读取、篡改、添加企业敏感数据的能力
盗窃企业重要的具有商业价值的资料
非法转账
强制发送电子邮件
网站挂马，更多人受害
控制受害者机器向其他机器发起攻击（卖肉机）

（3）分类

<1> 反射型

非持久跨站脚本攻击
攻击是一次性的，仅对当次访问页面产生影响

攻击流程：
安全攻击 --- XSS攻击,安全攻击,xss,安全,前端,web安全,网络

<2> 存储型

持久性跨站点脚本
攻击者的数据存储在服务端，攻击行为伴随攻击数据一直存在

攻击流程：
安全攻击 --- XSS攻击,安全攻击,xss,安全,前端,web安全,网络

<3> DOM型

既有可能是反射型，也有可能是存储型
基于文档对象模型（Document Object Model，DOM）的一种漏洞

（4）产生原因

web应用对用户输入过滤不严谨
攻击者写入恶意的脚本代码到网页中
用户访问含恶意代码的网页
恶意脚本被浏览器解析执行导致用户被攻击

（5）构造XSS脚本

<1> 基础

常用html标签：

<iframe>：创建包含另一个文档的内联框架
<textarea>：定义多行文本输入控件
<img>：网页中嵌入图像
<script>：定义客户端脚本，比如JavaScript

script标签即可包含脚本语句，也可通过src属性指向外部脚本文件

type属性规定脚本类型 ---（必需）

JavaScript常见应用是图像操作、表单验证以及动态内容更新

常用js脚本：

alert：用于显示带有一条指定消息和一个确认按钮的警告框
window.location：获取当前页面地址（URL），并将浏览器重定向到新页面
location.href：返回当前显示文档的完整URL
onload：一张页面或图像完成加载
onsubmit：一个按钮被点击
onerror：加载文档或图像发生错误

<2> 构造脚本方式

弹窗警告

例1：显示弹窗 -- <script>alert("欢迎12345")</script>

安全攻击 --- XSS攻击,安全攻击,xss,安全,前端,web安全,网络

例2：获取用户cookie -- <script>alert(document.cookie)</script>

安全攻击 --- XSS攻击,安全攻击,xss,安全,前端,web安全,网络

页面嵌套

例：<iframe style="overflow:hidden;width:520px;height:400px;positon:fixed;left:500px;top:400px;border:none;margin:0px;padding:0px;" src = "http://127.0.0.1:/dvwa-master/"></iframe>

安全攻击 --- XSS攻击,安全攻击,xss,安全,前端,web安全,网络