萌新网安路之XSS漏洞(day2)

偏执的太偏执、 2023-09-25 15:44 72阅读 0赞

### XSS漏洞 ###

也叫XSS跨站脚本攻击，本质上是用户输入js，html代码，提交至服务器（可不经过），前端和后端均未对用户的输入和输出进行合理的过滤和限制，导致恶意js代码以及html代码被注入到网页中

危害：用户信息泄露，钓鱼欺骗、获取会话、会话劫持、网页蠕虫病毒等；

即前端代码注入，代码注入类

代码注入的本质：把用户的输入当作代码执行

### 基本逻辑 ###

先由**攻击者**发现页面存在XSS漏洞，在漏洞点注入代码发送到**服务器**，**其他用户**请求服务器页面的时候触发了恶意代码，**服务器**就会返回存在恶意代码的页面到**其他用户**，恶意代码被执行后，执行的结果就会返回到**攻击者**，这样攻击者就拿到了**其他用户**的敏感信息

### XSS类型 ###

#### 1.存储型 ####

xss恶意代码经过服务器且存储于服务器（文件，数据库）（既经过又存储）

#### 2.反射性 ####

xss恶意代码经过服务器但不存储于服务器，一次性xss恶意代码经过服务器但不存储于服务器，一次性（仅经过不存储）

#### 3.dom型 ####

xss恶意代码不经过服务器，无需和服务器交互，发生在客户端处理数据时（仅作用于客户端）

### 如何引用JS（javascript） ###

1、script标签  
2、script标签中的src属性  
3、事件（on）  
4、a标签href属性构造伪协议

### XSS语句及过滤 ###

1、无尖括号，可选择用事件触发js代码

2、无法使用script标签及js事件的情况下，可选择用a标签引入伪协议，例：

<a href="javascript:alert(1)">random</a>

3、某些属性被替换，可选择大小写绕过限制，例：

"><a hREf="javascript:alert(1)">asdf</a>

用大小写穿插的方式替换href

4、存在过滤属性名、标签名的情况，如果过滤不严谨可尝试双写；

"><a hrhrefef="javascrscriptipt:alert(1)">asdf</a>

5、可尝试使用实体编码替换xss语句中的任意内容

在线转换网站 [HTML字符实体转换，网页字符实体编码][HTML]

实体编码的10进制类型及16进制均可替换，实体编码以&开头，以；结尾

6 观察页面，有些输入框是隐藏属性

7、img、input等自闭和标签无需闭合，结尾尖括号也可省略

### 常见XSS可用代码 ###

#### url编码 ####

例：

%3Cscript%3Ealert(1)%3C%2Fscript%3E

在线编码：[UrlEncode编码/UrlDecode解码 - 站长工具][UrlEncode_UrlDecode_ -]

#### js编码 ####

例：

16进制，
    ①“e”编码为 “\x65”
    ②“e”可编码为“\u0065”
    8进制等

#### html实体编码 ####

例：

alert
    十六进制：alert
    十进制：alert

在线编码地址：[HTML字符实体转换，网页字符实体编码][HTML]

### XSS盲打 ###

注意，这不是XSS漏洞的一种类型，而是指XSS一种攻击场景。例如留言板等场景下，用户输入信息，但用户无法自证是否有xss,留言信息第一时间是由管理员或其他用户处理

推荐一个XSS平台（xss.yt）

**使用教程（因为一些个人私人原因只能找到以前打了码的截图了，这里讲的操作步骤，部分内容打码不影响正常阅读）**

**①创建项目**

![Image 1][]

**②编辑项目模板，配置所需模块**

![Image 1][]

**③通过查看代码模块**

![Image 1][]

**复制语句到有漏洞的地方**

**④通过平台可观察效果**

![Image 1][]

### XSS修复 ###

1、http only 设置cookie属性值有http only，浏览器禁止页面的java script访问具有http only属性的cookie值 （限制脚本(js)获取cookie信息）

2、输入检查

过滤特殊字符：

<
    >
    "
    '
    (
    )
    /
    *
    -->
    `
    =
    空白符(tab\crlf\空格)
    及其任意编码的形式
    等，及其各种编码方式的字符

过滤敏感字符串：

<script>
    on/auto
    cookie
    document

常见修复方式，设置`xss filter`进行字符、字符串过滤

3、输出检查 对输出至HTML页面的数据，进行编码或转义的方式来进行防御(富文本除外)；

4、使用最新的浏览器

5、提高自身安全意识

### （如果文章有错误，欢迎大佬们进行指点和修正！！！觉得有用的话麻烦点个赞吧！） ###

[HTML]: https://www.qqxiuzi.cn/bianma/zifushiti.php
[UrlEncode_UrlDecode_ -]: https://tool.chinaz.com/tools/urlencode.aspx
[Image 1]:

发表评论取消回复

表情：

评论列表（有 0 条评论，72人围观）

还没有评论，来说两句吧...

相关阅读

相关萌新网安路之XSS漏洞(day2)

XSS漏洞也叫XSS跨站脚本攻击，本质上是用户输入js，html代码，提交至服务器（可不经过），前端和后端均未对用户的输入和输出进行合理的过滤和限制，导致恶意js代码以

偏执的太偏执、/ 2023年09月25日 15:44/ 0 赞/ 73 阅读

相关萌新网安路之信息收集（day1）

什么是信息收集？为什么要做信息收集？信息收集我们也可以叫做踩点。信息收集是我们在进行渗透测试挖漏洞的第一步，也是较为重要的一步，开好头做大事（就像高中时期写语文作文一样

我不是女神ヾ/ 2023年09月25日 14:46/ 0 赞/ 17 阅读

相关萌新网安路的小记录（day0）

前言：学习Web安全也有一段时间了，以前一直想写一些文章来帮助一些和我一样刚入门的朋友，也可以顺便巩固一下自己的知识，但是因为日常学习量就我个人而言接受难度有点高而且这事容

电玩女神/ 2023年09月25日 14:44/ 0 赞/ 59 阅读

相关萌新学习python之字符串篇！

python中引号引起来的就是字符串索引索引（下标）通过索引下标可以精确的地位到某个元素变量名未 titl的字符串 title = 'pyth

向右看齐/ 2022年12月14日 06:09/ 0 赞/ 120 阅读

相关网际快车（FlashGet）0day漏洞曝光

<table> <tbody> <tr> <td colspan="2"> <p>一、事件分析：</p> </td> </tr> <tr>

我会带着你远行/ 2022年09月20日 12:43/ 0 赞/ 97 阅读

相关内网渗透一：利用Xss漏洞进入内网

内网渗透一：利用Xss漏洞进入内网 0x01:科普 Beef目前欧美最流行的WEB框架攻击平台，全称：The Browser Exploitation Framework

爱被打了一巴掌/ 2022年07月29日 10:57/ 0 赞/ 316 阅读

相关 xss漏洞修复思路

public static String htmlSecurityEscape(String str) { if (str == null) {

逃离我推掉我的手/ 2022年03月12日 19:12/ 0 赞/ 135 阅读

相关解决xss漏洞

web.xml <filter> <filter-name>xssFilter</filter-name> <filter-class>com

小咪咪/ 2022年02月13日 13:15/ 0 赞/ 224 阅读

相关 XSS漏洞复现

XSS漏洞复现实验环境DVWA > XSS(cross site script) 跨站脚本。属于代码执行的一种，这里执行的是前端代码，一般是javascript代码。

迷南。/ 2021年09月21日 05:16/ 0 赞/ 474 阅读

相关每天一个网安开发小技巧——XSS扫描器

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4u

「爱情、让人受尽委屈。」/ 2021年07月25日 12:03/ 0 赞/ 458 阅读