干货|可别小看了XSS漏洞

对于初了解xss漏洞的人来说，XSS漏洞的危害就是获取受害者的cookie，来进行 ‘cookie劫持’。

XSS漏洞简介

<p>a</p>

<p></p>      <script>alert("1")</script>      <p></p>

第一 cookie劫持：

第二 构造GET或POST请求:

<script>window.location.href='////www.xxx.com/index.php?type=delete&id=1';</script>

第三 钓鱼

第四 识别用户浏览器

第五 识别用户安装的软件

try{     var Obj=new ActiveXObject('XunLeiBHO.ThunderIEhelper'); }     catch(e){         //异常     }

第六 获得用户真实ip地址

第七 判断用户是否访问某个网站

第八 蠕虫

XSS绕过方式

• JS编码
• HTML编码
• URL编码
• 长度绕过
• 标签绕过(标签闭合,标签优先性)
• window.name利用
• Flash XSS
• 利用Javascript开发框架漏洞
• 利用浏览器差异
• 关键字、函数
  XSS防护方法
• 过滤输入的数据,非法字符
• 对数据进行编码转换
• 添加HttpOnly
• 输入合法性检查
• 白名单过滤标签
• DOM XSS防御

作者：codingnote来源：https://codingnote.cc/p/696976/