一、xss攻击简介
- 1、OWASP TOP 10之一,XSS被称为跨站脚本攻击(Cross-site-scripting)
- 2、主要基于java script(JS)完成恶意攻击行为。JS可以非常灵活的操作html、css和浏览器,这使得XSS攻击的“想象”空间特别大。
- 3、XSS通过将精心构造代码(JS)代码注入到网页中，并由浏览器解释运行这段JS代码，以达到恶意攻击的效果。当用户访问被XSS脚本注入的网页，XSS脚本就会被提取出来。用户浏览器就会解析这段XSS代码，也就是说用户被攻击了。
- 4、微博、留言板、聊天室等等收集用户输入的地方，都有可能被注入XSS代码，都存在遭受XSS的风险，只要没有对用户的输入进行严格过滤，就会被XSS
二、xss攻击危害
- 1、盗取各类用户帐号,如机器登录帐号、用户网银帐号、各类管理员帐号
- 2、控制企业数据,包括读取、篡改、添加、删除企业敏感数据的能力
- 3、盗窃企业重要的具有商业价值的资料
- 4、非法转账
- 5、强制发送电子邮件
- 6、网站挂马 让更多人的受害
- 7、控制受害者机器向其它网站发起攻击 卖肉机
- 8、蠕虫式的DDoS攻击。
三、xss的原理
- 攻击者对含有漏洞的服务器发起XSS攻击（注入JS代码）。
- 诱使受害者打开受到攻击的服务器URL。
- 受害者在Web浏览器中打开URL，恶意脚本执行。
四、XSS攻击的分类
- 1、反射型
非持久性跨站点脚本攻击
攻击是一次性的，仅对当次的页面访问产生影响存储型
- 2、持久型跨站点脚本
攻击者的数据存储在服务器端，攻击行为将伴随着攻击数据一直存在
- 3、DOM型
既可能是反射型的，也有可能是存储型的。
基于文档对象模型(Document Objeet Model,DOM)的一种漏洞
五、构造xss攻击脚本
1、常用的html标签
- <iframe>iframe标签会创建包含另外一个文档的内联框架
<iframe οnlοad=alert(1)></iframe>
- <details> 标签通过提供用户开启关闭的交互式控件，规定了用户可见的或者隐藏的需求的补充细节。ontoggle 事件规定了在用户打开或关闭 <details> 元素时触发：
<details οntοggle=alert(1)>
- <textarea> textarea标签定义多行的文本输入控件
<textarea οnfοcus=alert(1) autofocus>
- <img>img标签向网页中嵌入一幅图像
<img src=1 οnerrοr=alert(1)>
<img src=1 οnerrοr=alert("xss")>
- <svg> 标签用来在HTML页面中直接嵌入SVG 文件的代码。
<svg οnlοad=alert(1)>
- <script> script标签用于定义客户端脚本,比如JavaScriptscript
<script>alert(1)</script>
<script>alert("xss")</script>
- script标签既可以包含脚本语句,也可以通过src属性指向外部脚本文件
- 必需的type属性规定脚本的类型。
- JavaScript的常见应用是图像操作、表单验证以及动态内容更新。
2、常用的is脚本
- alert :alert方法用于显示带有一条指定消息和一个确认按钮的警告框
- YRS,并筢别览器量定尚劉新的资鲁用于获得当前页面的地址
- location.href:返回当前显示的文档的完整URL
- onload:-张页面或一幅图像完成加载
- onsubmit:一个按钮被点击
- onerror:在加载文档或图像时发生错误
六、构造脚本的方式
- 弹窗警告
- 页面嵌套
- 页面重定向。
- 弹窗警告并重定向
- 图片标签利用
- 绕开过滤的脚本
- 存储型xss基本演示
- 访问恶意代码(网站种马)
