XSS漏洞简介 [ 光影人像 东海陈光剑 的博客 ]

什么是xss漏洞XSS又叫CSS英文缩写为Cross Site Script中文意思为跨站脚本攻击具体内容指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的.xss的漏洞危害 获取用户cookie
修改页面信息
浏览器劫持
与其他漏洞结合（如：csrf漏洞）
其他
xss漏洞实例演示 略（在这里放貌似不太合适）
xss漏洞是如何产生的以下Velocity模板VM中常见的代码 <span>$!productName</span>
<script>var from = '$!rundata.Parameters.getString('from')';</script>
对于第一种类型的代码我们可以输入变量为<iframe src=http://hacker.com></iframe>第一种类型的代码将变为<span><iframe src=http://hacker.com></iframe></span>对于第二种类型的代码我们可以输入变量为';hackerFunction(document.cookie);'第二种类型的代码将变为<script>var from = '';hackerFunction(document.cookie);''; </script>以上两种类型的代码都轻易的被植入了恶意的脚本，也就是说产生了传说中的xss漏洞。xss漏洞如何预防1. 对于非富文本针对入参进行转义可通过escapeHtml和JavaScript进行转义。转义过后上面的代码将会变成<span><iframe src&equalshttp&colon&sol&solhacker&periodcom><&soliframe></span>转义后用户输入的恶意脚本代码就不会被执行从而达到了预防和修复的目的。2. 对于富文本入参进行过滤略。总结本篇简要介绍了什么是xss漏洞，xss漏洞在代码中是如何产生的，简单介绍了如何去预防和修复xss漏洞。预告下篇将介绍如何去测试xss漏洞。

我们从来只做一件事,分享.
让美在这个世界流转
让倍感无趣的 受伤的 彷徨的 孤独的 或是心情忧郁的 人生黯淡的人们
能有一次机会
去再一次发现这个世界的美
并把美传递给他人
---光影人像(Follow WeChat public number with interest)