xss攻击方式详解

《xss攻击方式详解》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、简介XSS又叫CSS(CrossSiteScript)，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。使用过ASP的同学一定见过这样的代码：Hello,  <%Response.Write(Request.Querystring("name"))%>假如我传入的name的值为：这样就可以直接盗取用户的cookie。所以我就可以发送一条链

2、接地址让别人去点：http://www.xxx.com/reg.asp?name=当然这样做没有一点隐蔽性，虽然前面的xxx.com瞒过了少数人，但大多数人可以辨认出后面的javascript代码，所以，我只需要将后面的javascript代码转换成URL的16进制，如：http://www.xxx.com/reg.asp?name=%3C%73%63%72%69%70%74%3E%78%3D%64%6F%63%75%6D%65%6E%74%2E%63%6

3、F%6F%6B%69%65%3B%61%6C%65%72%74%28%78%29%3B%3C%2F%73%63%72%69%70%74%3E上面的URL你还认得吗？除非你把它转换出来。（进制转换可以使用Napkin工具，哎，太坏了。。有人问Napkin的下载地址，贴在这里好了：http://www.0x90.org/releases/napkin/Napkin-1.0-Windows.zip）根本原因1.没有对输入进行约束，没有对输出进行编码2.没有严格区分“数据”和“代码”示例发现大名鼎鼎的淘宝网也存在这样的漏洞，我们在搜索框中输入："/>

4、