反射型XSS漏洞的条件+类型+危害+解决

傷城~ 2023-10-07 08:58 8阅读 0赞

XSS攻击需要具备两个条件：需要向web页面注入恶意代码；这些恶意代码能够被浏览器成功的执行。

XSS攻击有2种: 反射型攻击; 存储型攻击

XSS反射型攻击，恶意代码并没有保存在目标网站，通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击的。

XSS存储型攻击，恶意代码被保存到目标网站的服务器中，这种攻击具有较强的稳定性和持久性，比较常见场景是在博客，论坛、OA、CRM等社交网站上，比如：某CRM系统的客户投诉功能上存在XSS存储型漏洞，黑客提交了恶意攻击代码，当系统管理员查看投诉信息时恶意代码执行，窃取了客户的资料，然而管理员毫不知情，这就是典型的XSS存储型攻击。

危害：1.窃取cookies，读取目标网站的cookie发送到黑客的服务器上

2.读取用户未公开的资料，如果：邮件列表或者内容、系统的客户资料，联系人列表等等。它可以获取用户的联系人列表，然后向联系人发送虚假诈骗信息，可以删除用户的日志等等，有时候还和其他攻击方式同时实 施比如SQL注入攻击服务器和数据库、Click劫持、相对链接劫持等实施钓鱼，它带来的危害是巨大的，是web安全的头号大敌。

解决：

1.在表单提交或者url参数传递前，对需要的参数进行过滤

2.过滤用户输入的 检查用户输入的内容中是否有非法内容。如<>（尖括号）、”（引号）、 ‘（单引号）、%（百分比符号）、;（分号）、()（括号）、&（& 符号）、+（加号）等。、严格控制输出

可以利用下面这些函数对出现xss漏洞的参数进行过滤

（1）htmlspecialchars() 函数,用于转义处理在页面上显示的文本。

（2）htmlentities() 函数,用于转义处理在页面上显示的文本。

（3）strip\_tags() 函数,过滤掉输入、输出里面的恶意标签。

（4）header() 函数,使用header("Content-type:application/json"); 用于控制 json 数据的头部，不用于浏览。

（5）urlencode() 函数,用于输出处理字符型参数带入页面链接中。

（6）intval() 函数用于处理数值型参数输出页面中。

（7）自定义函数,在大多情况下，要使用一些常用的 html 标签，以美化页面显示，如留言、小纸条。那么在这样的情况下，要采用白名单的方法使用合法的标签显示，过滤掉非法的字符。  
————————————————  
版权声明：本文为CSDN博主「筑梦悠然」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。  
原文链接：https://blog.csdn.net/wuhuagu\_wuhuaguo/article/details/79774187

发表评论取消回复

表情：

评论列表（有 0 条评论，8人围观）

还没有评论，来说两句吧...

相关阅读

相关反射型攻击XSS是什么？

反射型攻击的基本原理是，攻击者通过构造特制的URL，将恶意代码注入到URL参数中，然后将这个恶意URL发送给目标用户。当目标用户点击或访问这个URL时，恶意代码会被服务端执行，

女爷i/ 2024年03月24日 19:35/ 0 赞/ 88 阅读

相关 POODLE漏洞：危害与防范措施

POODLE漏洞：危害与防范措施文章目录 POODLE漏洞：危害与防范措施 1. 简介 2. 漏洞原理解析 3. 漏

青旅半醒/ 2023年10月14日 16:22/ 0 赞/ 112 阅读

相关反射型XSS漏洞的条件+类型+危害+解决

XSS攻击需要具备两个条件：需要向web页面注入恶意代码；这些恶意代码能够被浏览器成功的执行。 XSS攻击有2种: 反射型攻击; 存储型攻击 XSS反射型攻击，恶意代码并没

傷城~/ 2023年10月07日 08:58/ 0 赞/ 9 阅读

相关漏洞：反射型 XSS 攻击

什么是反射型 XSS 攻击？反射型 XSS 是指应用程序通过 Web 请求获取不可信赖的数据，并在未检验数据是否存在恶意代码的情况下，将其发送给用户。反射型 XSS 一

小咪咪/ 2022年10月23日 08:01/ 0 赞/ 213 阅读

相关 web漏洞-XSS

XSS 漏洞介绍 XSS 攻击是指在网页中嵌入一段恶意的客户端 Js 脚本代码片段，JS 脚本恶意代码可以获取用户的 Cookie、URL 跳转、内容篡改、会话劫持

偏执的太偏执、/ 2022年10月17日 00:58/ 0 赞/ 53 阅读

相关 Java Web使用过滤器防止Xss攻击，解决Xss漏洞

web.xml添加过滤器  <filter> <filter-name>xssFilter</filter

分手后的思念是犯贱/ 2022年04月17日 01:38/ 0 赞/ 447 阅读

相关 xss漏洞修复思路

public static String htmlSecurityEscape(String str) { if (str == null) {

逃离我推掉我的手/ 2022年03月12日 19:12/ 0 赞/ 203 阅读

相关解决xss漏洞

web.xml <filter> <filter-name>xssFilter</filter-name> <filter-class>com

小咪咪/ 2022年02月13日 13:15/ 0 赞/ 310 阅读

相关反射型XSS笔记

1、标签内属性（事件）　　用于双引号没被过滤，而<>被过滤的情况当鼠标悬浮于该标签时，触发此事件 onmouseover= 当鼠标聚焦在标签

骑猪看日落/ 2021年12月12日 02:13/ 0 赞/ 261 阅读

相关 XSS漏洞复现

XSS漏洞复现实验环境DVWA > XSS(cross site script) 跨站脚本。属于代码执行的一种，这里执行的是前端代码，一般是javascript代码。

迷南。/ 2021年09月21日 05:16/ 0 赞/ 577 阅读