xss全名跨站指令碼攻擊可以理解為向目標**注入可執行指令碼,當指令碼執行時達到攻擊的目的
1.竊取使用者的cookie
通常我們登入某個**後,**會給我們返回乙個cookie,這個cookie表示使用者的身份.xss攻擊可以通過document.cookie竊取到使用者的這個cookie資訊,有可能利用cookie繞過使用者名稱和密碼登入到**上
反射性xss攻擊一般是誘導使用者去點選惡意鏈結,惡意**會「反射」到使用者的瀏覽器執行,反射型攻擊常用來竊取客戶的cookie等資訊.
反射型攻擊也叫做非持久型攻擊,因為該攻擊通常是一次性的,只針對執行了特定操作的使用者
反射型xss通常出現在**的搜尋欄、使用者登入口等地方
儲存型攻擊要嚴重的多,因為此時惡意**被儲存在伺服器的資料庫/記憶體/檔案系統等.當使用者訪問的時候,在資料庫中的惡意**會返回給使用者的瀏覽器執行響應的操作.所有訪問了該資料庫的使用者都會收到攻擊,受害面積非常大
儲存型攻擊又叫做永續性攻擊
dom 的 xss 攻擊是指通過惡意指令碼修改頁面的 dom 結構，是純粹發生在客戶端的攻擊。dom 型 xss 攻擊中，取出和執行惡意**由瀏覽器端完成，屬於前端 j**ascript 自身的安全漏洞。
1.不要信任使用者的輸入,對任何內容都要進行過濾,比如常見的script,img,a
2.伺服器設定http-only,該屬性進製js指令碼讀取cookie資訊
3.轉碼,對一些常見的輸入如<>,在編譯是轉碼,這樣做瀏覽器是不會對該標籤進行解釋執行的，同時也不影響顯示效果。
4.還有一種方法,通常xss攻擊的字串比較長,我們可以通過限制輸入長度防範問題
web安全（xss攻擊和csrf攻擊）
1 csrf攻擊 csrf cross site request forgery 跨站請求偽造。1 攻擊原理 如上圖，在b 引誘使用者訪問a 使用者之前登入過a 瀏覽器 cookie 快取了身份驗證資訊 通過呼叫a 的介面攻擊a 2 防禦措施 1 token驗證 登陸成功後伺服器下發token令牌存...
sql注入和xss攻擊
sql注入 就是通過把sql命令插入到web表單提交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的sql命令。具體來說，它是利用現有應用程式，將 惡意的 sql命令注入到後台資料庫引擎執行的能力，它可以通過在web表單中輸入 惡意 sql語句得到乙個存在安全漏洞的 上的資料庫，而不...
xss攻擊總結
顧名思義，非持久型xss攻擊是一次性的，僅對當次的頁面訪問產生影響。非持久型xss攻擊要求使用者訪問乙個被攻擊者篡改後的鏈結，使用者訪問該鏈結時，被植入的攻擊指令碼被使用者遊覽器執行，從而達到攻擊目的。持久型xss，會把攻擊者的資料儲存在伺服器端，攻擊行為將伴隨著攻擊資料一直存在。dom 不經過後端...