資訊專欄INFORMATION COLUMN
摘要：之前就對(duì)有所耳聞，不過昨天在學(xué)習(xí)深入淺出過程中，才深入了解到攻擊的原理，于是找到那本很早就想看的前端黑客技術(shù)解密，找到跨站攻擊腳本章節(jié)，于是有了下面這個(gè)簡(jiǎn)單的攻擊實(shí)驗(yàn)。
之前就對(duì)XSS有所耳聞，不過昨天在學(xué)習(xí)《深入淺出nodejs》過程中，才深入了解到XSS攻擊的原理，于是找到那本很早就想看的《web前端黑客技術(shù)解密》，找到 跨站攻擊腳本XSS 章節(jié)，于是有了下面這個(gè)簡(jiǎn)單的XSS攻擊實(shí)驗(yàn)。
XSSdemo
關(guān)鍵代碼：eval(location.hash.substr(1))
alert("你的網(wǎng)站被XSS攻擊了！")
關(guān)鍵代碼：alert("你的網(wǎng)站被XSS攻擊了！")
Cookie被經(jīng)常當(dāng)作輸入點(diǎn)，可以使用escape(document.cookie)來獲取用戶Cookie中保存的敏感信息，例如電話號(hào)碼，密碼等等。
待訪問文件xss.html的url上加上hash值。
#document.write("")
例如：
file:///C:/Users/jack/Desktop/XSSdemo/index.html#document.write("")
在Chrome中輸入
file:///C:/Users/jack/Desktop/XSSdemo/index.html#document.write(
為什么會(huì)被攔截？
因?yàn)镃hrome 的filter防御機(jī)制會(huì)導(dǎo)致這個(gè)無法成功，其它瀏覽器可以被攻擊。那么如何攻擊FireFox呢？
（瀏覽器版本為Firefox 57.0 Quantum版）
需要對(duì)原始攻擊代碼做下簡(jiǎn)單調(diào)整。
eval(decodeURI(location.hash.substr(1)))
相應(yīng)的訪問鏈接也更改為file:///C:/Users/jack/Desktop/XSSdemo/index.html#document.write(")XSS攻擊FireFox成功！
可以看到，XSS腳本被成功寫入到index.htmlIE可以被攻擊嗎？
（瀏覽器版本為IE11.726.15063.0 ）
XSS攻擊IE11成功！攻擊了這么久，難道我是要去綠，哦不，黑別人嗎？
NoNoNo，我是為了讓自己的網(wǎng)站更加安全。之前有了解到j(luò)avascript的eval()會(huì)有安全問題，通過今天的例子，才明白eval()原來會(huì)幫助 XSS攻擊輸入點(diǎn)代碼進(jìn)行攻擊，例如：
本例中的輸入點(diǎn)為location.hash.substr(1)，其值為"document.write(")")簡(jiǎn)單來說，eval()會(huì)執(zhí)行XSS跨站攻擊腳本，前端工程師在開發(fā)過程中要注意eval()使用存在的安全隱患。
對(duì)于瀏覽器喜愛程度，我想Chrome在防御XSS攻擊方面又為自己加了不少分，以后強(qiáng)推Chrome又多了一個(gè)理由。
其實(shí)關(guān)于XSS攻擊還有很多學(xué)問在其中，我所了解到的只是冰山一角，后續(xù)再繼續(xù)探索！
That"s it !
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/11295.html
摘要：之前就對(duì)有所耳聞，不過昨天在學(xué)習(xí)深入淺出過程中，才深入了解到攻擊的原理，于是找到那本很早就想看的前端黑客技術(shù)解密，找到跨站攻擊腳本章節(jié)，于是有了下面這個(gè)簡(jiǎn)單的攻擊實(shí)驗(yàn)。 之前就對(duì)XSS有所耳聞，不過昨天在學(xué)習(xí)《深入淺出nodejs》過程中，才深入了解到XSS攻擊的原理，于是找到那本很早就想看的《web前端黑客技術(shù)解密》，找到 跨站攻擊腳本XSS 章節(jié)，于是有了下面這個(gè)簡(jiǎn)單的XSS攻擊實(shí)...
摘要：為了加深自己對(duì)攻擊的理解，特意嘗試了一下，并把整個(gè)過程記錄下來。因?yàn)闃?biāo)簽有問題，在后臺(tái)返回來的標(biāo)簽在是存在的，但是并沒有執(zhí)行還請(qǐng)各位大佬多多指正 XSS：跨站腳本（Cross-site scripting） 攻擊手段和目的: 攻擊者使被攻擊者在瀏覽器中執(zhí)行腳本后，如果需要收集來自被攻擊者的數(shù)據(jù)（如cookie或其他敏感信息），可以自行架設(shè)一個(gè)網(wǎng)站，讓被攻擊者通過JavaScript...
摘要：示例攻擊如何進(jìn)行下圖展示了攻擊者如何進(jìn)行攻擊攻擊者利用網(wǎng)站的表單插入惡意字符串到網(wǎng)站數(shù)據(jù)庫中。恰恰相反，至少有兩種常見的方式，會(huì)導(dǎo)致受害者發(fā)起針對(duì)自己的反射型攻擊。攻擊者精心構(gòu)造了一個(gè)包含惡意字符串的，將其發(fā)送給受害者。 原文地址：http://excess-xss.com/。如有翻譯不當(dāng)之處，歡迎指出 :D 分為四部分： 概述 XSS 攻擊 XSS 防御 總結(jié) 第一部分：概述 X...
閱讀 3066·2021-11-16 11:45
閱讀 3597·2021-09-29 09:34
閱讀 713·2021-08-16 10:50
閱讀 1580·2019-08-30 15:52
閱讀 1972·2019-08-30 15:45
閱讀 868·2019-08-29 15:23
閱讀 1934·2019-08-26 13:51
閱讀 3307·2019-08-26 12:23
