XSS绕过与防御总结

跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的特殊目的。

0x01 XSS的分类

  • 反射型（非持久型）
  • 存储型（持久型）
  • DOM型

具体的一些介绍与简单的实例就不做详述了，本文主要介绍的是XSS的绕过技巧与防御。

0x02 XSS的绕过

大小写绕过

编码绕过

1.十六进制编码

2.jsfuck编码

3.url编码

4.unicode编码

<0x736372697074>alert('123')</0x736372697074>

'被过滤，我们可以将'写为 &#x27
将"/"转义为"/"

绕过magic_quotes_gpc

闭合标签

">

标签绕过


posted @ 2016-08-15 21:48  joy_nick  阅读(3741)  评论(0)    收藏  举报