跨站脚本攻击,是代码注入的一种,它允许恶意用户将代码注入网页,其他用户在浏览网页时就会受到影响
所有漏洞的问题本质上都在于输入输出的控制!
sql注入是将用户输入的数据当作了SQL语句放入了数据库执行。
XSS是将用户输入的数据当作了HTML语句放到了页面上执行。
这里有两个关键条件:
第一个是用户能够控制输入
第二个是原本程序要执行的代码,拼接了用户输入的数据
我么在留言处插入
,为了快速测试我们在所以输入框中都插入hello world
提交后我们发现,在主题处是存在漏洞的
因为XSS Payload的强大,也是为了使用的方便,有安全研究者将许多功能封装了起来做成了XSS平台。也是因为插入点一般都有长度限制,所以说xss一般攻击都需要外链。
这里我们用http://xsscom.com/来演示
1、我们注册登录成功后创建一个项目
2、项目名称随便写
3、默认模块选keepsession
目的是每隔一段时间访问网站,是否获取到cookie
4、复制外链到漏洞点