这篇文章主要为大家展示了“XSS跨站脚本怎么绕过”,内容简而易懂,条理清晰,希望能够帮助大家解决疑惑,下面让小编带领大家一起研究并学习一下“XSS跨站脚本怎么绕过”这篇文章吧。
肥西ssl适用于网站、小程序/APP、API接口等需要进行数据传输应用场景,ssl证书未来市场广阔!成为创新互联的ssl证书销售渠道,可以享受市场价格4-6折优惠!如果有意向欢迎电话联系或者加微信:18982081108(备注:SSL证书合作)期待与您的合作!
一、XSS(跨站脚本)概述
跨站脚本(Cross-Site Scripting,简称为XSS或跨站脚本或跨站脚本攻击)是一种针对网站应用程序的安全漏洞攻击技术,是代码注入的一种。它允许恶意用户将代码注入网页,其他用户在浏览网页时就会受到影响。恶意用户利用XSS代码攻击成功后,可能得到很高的权限(如执行一些操作)、私密网页内容、会话和cookie等各种内容。
XSS漏洞一直被评估为web漏洞中危害较大的漏洞,在OWASP TOP10的排名中一直属于前三的江湖地位。
XSS是一种发生在前端浏览器端的漏洞,所以其危害的对象也是前端用户。
形成XSS漏洞的主要原因是程序对输入和输出没有做合适的处理,导致“精心构造”的字符输出在前端时被浏览器当作有效代码解析执行从而产生危害。
因此在XSS漏洞的防范上,一般会采用“对输入进行过滤”和“输出进行转义”的方式进行处理:
输入过滤:对输入进行过滤,不允许可能导致XSS攻击的字符输入;
输出转义:根据输出点的位置对输出到前端的内容进行适当转义;
二、XSS的一些变形
1、大小写和双写绕过
2、a标签
3、src属性
4、利用事件绕过
三、XSS绕过的示例
1、script、on等被处理(字符被转化为空时可尝试双写);
输入script、on等关键字,f12发现都被处理了;
通过尝试发现javascript没有被处理;
构建payload:">即可绕过;
2、过滤严格时,javascript也会被过滤;
输入script、on、javascript等关键字,抓包发现都被处理了;
构建payload:javascr%0aipt:alert(1);(在url中输入,或者抓包修改也可)这里用%0a或者%0D达到换行的效果,以此来绕过;
3、如何绕过alert关键词
输入alert后被waf检测到,并且无法绕过;
更换函数,构建payload:;(除了confirm还可以使用prompt代替alert)即可绕过;
4、白名单绕过
在dvwa靶场中,关于xssdom型high难度就是关于白名单绕多;无论输入什么关键词都会被重定向;
我们可以在English后面加一个#,然后在打入语句即可绕过,(#与前面的内容要加一个空格);
payload:http://127.0.0.1/dvwa/vulnerabilities/xss_d/?default=English #;
以上是“XSS跨站脚本怎么绕过”这篇文章的所有内容,感谢各位的阅读!相信大家都有了一定的了解,希望分享的内容对大家有所帮助,如果还想学习更多知识,欢迎关注创新互联行业资讯频道!
新闻名称:XSS跨站脚本怎么绕过
本文来源:http://lswzjz.com/article/jeihjh.html