這篇文章把Xss跨站攻擊和sql注入的相關(guān)知識(shí)整理了下，比較適合初學(xué)者觀看。
對(duì)于防止sql注入發(fā)生，我在這里用簡(jiǎn)單拼接字符串的注入及參數(shù)化查詢，如果大家對(duì)這個(gè)系列的內(nèi)容感興趣，可以在評(píng)論區(qū)告訴我！
一、什么是跨站腳本攻擊(XSS)
1.1、XSS攻擊原理
XSS又叫CSS (Cross Site Script) ，跨站腳本攻擊。它指的是惡意攻擊者往Web頁(yè)面里插入惡意腳本代碼，而程序?qū)τ谟脩糨斎雰?nèi)容未過(guò)濾，當(dāng)用戶瀏覽該頁(yè)之時(shí)，嵌入其中Web里面的腳本代碼會(huì)被執(zhí)行，從而達(dá)到惡意攻擊用戶的特殊目的。
跨站腳本攻擊的危害：竊取cookie、放蠕蟲(chóng)、網(wǎng)站釣魚(yú)?...
跨站腳本攻擊的分類主要有：存儲(chǔ)型XSS、反射型XSS、DOM型XSS
XSS漏洞是Web應(yīng)用程序中最常見(jiàn)的漏洞之一。如果您的站點(diǎn)沒(méi)有預(yù)防XSS漏洞的固定方法，那么就存在XSS漏洞。這個(gè)利用XSS漏洞的病毒之所以具有重要意義是因?yàn)?，通常難以看到XSS漏洞的威脅，而該病毒則將其發(fā)揮得淋漓盡致。
在這里使用一個(gè)簡(jiǎn)單的例子測(cè)試XSS：
<!DOCTYPE html>
<html lang="zh">
<head>
<meta charset="UTF-8">
<title>測(cè)試是否存在xss漏洞</title>
</head>
<body>
<span>輸入評(píng)論：</span>
<input type="text" value="" placeholder="請(qǐng)輸入您的評(píng)論" id="comment">
<input type="button" value="提交" id="submit">
<p>
<span>您的評(píng)論：</span>
<span id="commentList"></span>
</p>
<script>
document.getElementById("submit").addEventListener("click",function(){
let comment = document.getElementById("comment").value
document.getElementById("commentList").innerHTML = comment
})
</script>
</body>
</html>?注意：使用innerHtml插入代碼，只是當(dāng)作普通的html執(zhí)行，js解析器不會(huì)執(zhí)行js腳本。文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-727145.html
1.2、XSS攻擊分類
反射型
用戶在頁(yè)面輸入框中輸入數(shù)據(jù)，通過(guò) get 或者 post 方法向服務(wù)器端傳遞數(shù)據(jù)，輸入的數(shù)據(jù)一般是放在 URL 的 query string 中，或者是 form 表單中，如果服務(wù)端沒(méi)有對(duì)這些數(shù)據(jù)進(jìn)行過(guò)濾、驗(yàn)證或者編碼，直接將用戶輸入的數(shù)據(jù)呈現(xiàn)出來(lái)，就可能會(huì)造成反射型 XSS。反射型 XSS 是非常普遍的，其危害程度通常較小，但是某些反射型 XSS 還是會(huì)造成嚴(yán)重后果的。?
黑客通常通過(guò)構(gòu)造一個(gè)包含 XSS 代碼的 URL，誘導(dǎo)用戶點(diǎn)擊鏈接，觸發(fā) XSS 代碼，達(dá)到劫持訪問(wèn)、獲取 cookies 的目的。文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-727145.html
<!DOCTYPE html>
<html lang="zh">
<head>
<meta charset="UTF-8">
<title>xss漏洞廣告頁(yè)面</title>
<style>
a {
text-decoration: none;
font-size: 2rem;
}
img {
width: 8rem;
height: 8rem;
}
</style>
</head>
<body>
<a href="attack.html?content=<img src='aaa.png' onerror='alert(1)'/>">
<img src="https://timgsa.baidu.com/timg?image&quality=80&size=b9999_10000&sec=1520930605289&di=04f8835509d8c3c3fac4db7636247431&imgtype=0&src=http%3A%2F%2Fpic.58pic.com%2F58pic%2F13%2F14%2F16%2F3到了這里，關(guān)于WEB安全之XSS漏洞與SQL注入漏洞介紹及解決方案的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
