dom型xss屬於在客戶端執行的xss，並不經過服務端解析。測試過程如下
low型：
源**：
}payload:
}
服務端**：
<?php
// is there any input?if ( array_key_exists( "default", $_get ) && !is_null ($_get[ 'default' ]) ) {
$default = $_get['default'];
# do not allow script tags
if (stripos ($default, "
繞過方式
stripos過濾了script標籤，同時也防止了大小寫，考慮換乙個標籤執行
於是有標籤跳轉，原理是onerror事件會在文件或載入過程中發生錯誤時被觸發，支援該事件的html（標籤有：img,object,style;），所以設定src=#，就會跳轉執行onerror，其後的屬性會被當做js執行。
參照教程使用了《script>alaert(「xss」)，《script>標籤被過濾，替換成了english，
加上#號後繞過過濾。
沒有《select》標籤閉合
有該標籤閉合，可以載入
svg標籤繞過:
還有svg的標籤可以獲取cookie，
資訊保安之路
中國的資訊保安目前正在處於發展初期。隨著網路應用的深入，資訊保安的重要性愈來愈受到人們的重視。很多人看到這乙個行業熱點，紛紛投入到這個方向來。但是，資訊保安的未來會怎麼樣，現在還很難說。資訊保安是隨著人們對資訊進行保護的需要而產生的。這種需要是一種人們對秩序的需要。自由和秩序是人類社會追求的兩個相互...
資訊保安學習筆記 3
資訊保安的目標之中有乙個完整性.完整性 是指資訊不被非法篡改,針對完整性,有一種函式 雜湊函式,雜湊函式的特點是 1.單向密碼體制,只有從明文到密文的對映,而不會有對應 的逆對映,也就是說只有加密的過程,不存在解密.2.輸出是固定長度的密文.無論明文的長度是多少,輸出的 密文都是固定長度的.雜湊函式...
資訊保安學習
安全攻擊 認證服務 訪問控制 機密性資料完整性服務 不可抵賴性 對稱加密的簡化模型 feistel密碼結構 des三重des加密 高階加密標準aes ipsec 資料機密性 保證私有的或機密的資訊不會被洩露給未經授權的個體。資料完整性 保證只能由某種特定的 已授權的方式來更改資訊和 系統完整性 保證...