当前位置:网站首页>【无标题】
【无标题】
2022-08-02 14:25:00 【hjw1001】
xsslabs 靶场关卡
二
先随便试
然后查看源代码
发现输出在value里面 观察后 应该先闭合value双引号
1‘’><"
或者 1” οnclick=“alert(1) 一个点击事件闭合即可
第三关
随便试 然后观察代码
还是输出在value中
现在onclick不行了
查看源代码 有一个函数htmlspecialchars
百度一下 作用是
转译了双引号 就用单引号即可1’ οnclick='alert(1)
第四关
随便输入
发现他把 <> 给我们过滤了
那简单
用 onclick就完事
第五关
带on的标签都不行了 被过滤了
现在 就可以用html超链接标签就不带on
">hhh 就可以了
第六关
试了以后
on script href src 都过滤了
现在 我们可以用大小写绕过
xss知识点
XSS的原理和分类
跨站脚本攻击XSS(Cross Site Scripting),为了不和层叠样式表CSS(Cascading Style Sheets)重名,故缩写为XSS。
XSS属于被动式的攻击: 因为其被动且不好利用,所以许多人常呼略其危害性。
XSS漏洞的问题原因: 主要是由于开发人员对XSS了解不足,安全的意识不够造成的,因为没有对用户的输入进行一个合法的过滤或者没有过滤完善,导致用户把相应的恶意代码输入的了页面当中。
XSS攻击的主要目的: 想办法获取目标攻击网站的cookie,因为有了cookie相当于有了seesion,有了这些信息就可以在任意能接进互联网的pc登陆该网站,并以其他人的生份登陆,做一些破坏。
预防措施: 防止下发界面显示html标签,把</>等符号转义。
请记住两条原则:过滤输入和转义输出。
XSS漏洞分类
1.反射型XSS
反射型XSS的危害并不是那么大,因为反射型XSS不会插入数据库中,也并不持久,它只能运行一次就结束了。用户提交的数据中可以构造代码来执行,从而实现窃取用户信息等攻击。 需要诱使用户“点击”一个恶意链接,才能攻击成功。
2.DOM型
DOM-basedXSS漏洞是基于文档对象模型(Document Object Model)的一种漏洞。这种XSS与反射型XSS、持久型XSS在原理上有本质区别,它的攻击代码并不需要服务器解析响应,触发XSS靠的是浏览器端的DOM解析。客户端上的JavaScript脚本可以访问浏览器的DOM并修改页面的内容,不依赖服务器的数据,直接从浏览器端获取数据并执行。
在客户端直接输出DOM内容的时候极易触发DOM型XSS漏洞,如
document.getElementByld(“x’).innerHTML、document.write)等。
3.储存型
存储型XSS又叫持久型。一般而言,它三种XSS里危害最大的一种。此类型的XSS漏洞是由于恶意攻击代码被持久化保存到服务器上,然后被显示到HTML页面之中。这类漏洞经常出现在用户评论的页面,攻击者精心构造XSS代码,保存到数据库中,当其他用户再次访问这个页面时,就会触发并执行恶意的XSS代码,从而窃取用户的敏感信息。
0x01 HTML解析
一个HTML解析器作为一个状态机,它从输入流中获取字符并按照转换规则转换到另一种状态。在解析过程中,任何时候它只要遇到一个’<‘符号(后面没有跟’/'符号)就会进入“标签开始状态(Tag open state)”。然后转变到“标签名状态(Tag name state)”,“前属性名状态(before attribute name state)”…最后进入“数据状态(Data state)”并释放当前标签的token。当解析器处于“数据状态(Data state)”时,它会继续解析,每当发现一个完整的标签,就会释放出一个token
字符实体(character entities)
字符实体是一个转义序列,它定义了一般无法在文本内容中输入的单个字符或符号。一个字符实体以一个&符号开始,后面跟着一个预定义的实体的名称,或是一个#符号以及字符的十进制数字
字符引用(character references)
字符引用包括“字符值引用”和“字符实体引用”。在上述HTML例子中,‘<‘对应的字符值引用为’<’,对应的字符实体引用为‘<’。字符实体引用也被叫做“实体引用”或“实体”。)
边栏推荐
- ADB常用命令--测试人员必备
- 【时间序列模型】AR模型(原理剖析+MATLAB代码)
- 2022-02-14 第五小组 瞒春 学习笔记
- MySQL语法入门
- 学习编程的目标
- 为什么四个字节的float表示的范围比八个字节的long要广
- Based on the SVM regression forecast 】 【 LibSVM realize the prediction of a characteristic data
- 一、QT界面开发 --QT安装
- DOM —— 事件绑定与解绑
- Impulse response invariant method and bilinear transformation method for IIR filter design
猜你喜欢
随机推荐
2022-07-28 第六小组 瞒春 学习笔记
DOM —— 事件机制及事件链
2022-7-15 第五组 瞒春 学习笔记
CSV file with the data read and write 】 【 XLS/XLSX file
异常简单总结
一、QT界面开发 --QT安装
解决跨域问题的方法 --- JSONP
双亲委派机制
【SVM回归预测】基于LibSVM实现多特征数据的预测
事件对象,事件流(事件冒泡和事件捕获)、事件委托、L0和L2注册等相关概念及用法
职工管理系统(SSM整合)
2022-07-23 第六小组 瞒春 学习笔记
为什么四个字节的float表示的范围比八个字节的long要广?
有效的括号【暴力、分支判断、哈希表】
(数学基础)第三章-3.2-标准记号和常用函数
2022-0801 第六小组 瞒春 学习笔记
MATLAB文件操作
数据库性能优化的误区!
常见(MySQL)面试题(含答案)
DOM —— 事件类型