什么是XSS攻击?有哪些攻击原理?
最后更新 :2023.01.30
什么是XSS攻击?
XSS攻击通常指的是通过利用网页开发时留下的漏洞,通过巧妙的方法注入恶意指令代码到网页,使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript,但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后,攻击者可能得到包括但不限于更高的权限(如执行一些操作)、私密网页内容、会话和cookie等各种内容。
有哪些攻击原理?
XSS主要分为:反射型XSS、存储型XSS、DOM型XSS三种攻击类型,而每种类型的攻击原理都不一样。其中反射型XSS和DOM-based 型XSS可以归类为非持久型 XSS 攻击,存储型XSS归类为持久型 XSS 攻击。
反射型XSS:攻击者可通过特定的方式(例如:电子邮件)来诱惑受害者去访问一个包含恶意代码的URL。当受害者点击恶意链接url的时候,恶意代码会直接在受害者的主机上的浏览器执行。
存储型XSS:主要是将恶意代码上传或存储到服务器中,下次只要受害者浏览包含此恶意代码的页面就会执行恶意代码。
DOM-based型XSS:客户端的脚本程序可以动态地检查和修改页面内容,而不依赖于服务器端的数据。例如客户端如从 URL 中提取数据并在本地执行,如果用户在客户端输入的数据包含了恶意的 JavaScript 脚本,而这些脚本没有经过适当的过滤和消毒,那么应用程序就可能受到 DOM-based XSS 攻击。需要特别注意以下的用户输入源 document.URL、 location.hash、 location.search、 document.referrer 等。
该如何防御XSS攻击?
1.对输入(和URL参数)进行过滤,对输出进行编码。
对提交的所有内容进行过滤,对url中的参数进行过滤,过滤掉会导致脚本执行的相关内容;然后对动态输出到页面的内容进行html编码,使脚本无法在浏览器中执行。虽然对输入过滤可以被绕过,但是也还是会拦截很大一部分XSS攻击。
为了避免反射式或存储式的XSS漏洞,最好的办法是根据HTML输出的上下文(包括:主体、属性、JavaScript、CSS或URL)对所有不可信的HTTP请求数据进行恰当的转义。
2.在客户端修改浏览器文档时,为了避免DOM型XSS攻击,最好的选择是实施上下文敏感数据编码。
例如:使用内容安全策略(CSP)就是对抗XSS的深度防御策略。
- END -
网络安全工程师如何快速入门?哪里能学到网络安全硬核知识?
网络安全前景怎么样,盾叔讲过很多次了,有不少同学专门私信盾叔,希望盾叔讲一讲网络安全工程...
深度伪造技术将引发的网络安全问题
人工智能是一把双刃剑,它带来的不仅仅是便利,还有不断增强的安全威胁。越来越多成熟的人工...
什么是攻击取证与溯源分析工程师
什么是攻击取证与溯源分析工程师攻击取证与溯源分析工程师是网络安全大方向下网络安全应...
一文了解新概念“网络安全网格”
一文了解新概念“网络安全网格”作者:时间:2023-09-08 14:58:22网络安全培训 网络安...
0基础转行学习网络安全可行吗?
0基础转行学习网络安全可行吗?随着数字经济的发展,网络安全越来越被大众所重视,成了当今...
网盾安全学院4.27“丰碑班”开启了!最好的服务给最可敬的人
2022年北京冬奥会开幕式上,一名中国军人凝视五星红旗激动落泪的照片,成为这场体育盛事中最...
厉害的少年黑客有哪些
儿童节 谈谈那些少年黑客吧前不久,彭博社报道,成功入侵并盗走Nvidia、三星及微软内部资料...
什么是网络安全态势分析工程师
什么是网络安全态势分析工程师网络安全态势分析工程师是网络安全大方向下网络安全应急与...
杭州临平又发火灾,“安全问题”为何总被忽视
2022年6月9日上午10时左右,杭州市临平区望梅路588号杭州湾建材市场发生一起火灾,起火处为...
针对于file_put_contents的一些小技巧
File_put_contents函数中遇见exit();的绕过技巧1. 搭建环境代码?php header(#34;Content...
大学生为什么要去网络安全培训?
大学生为什么要去网络安全培训?作者:时间:2023-07-22 10:50:29网络安全培训 网络安全...
如果没有网络安全法,知网是否可以逃过制裁
知网火起来,应该拜博士翟天临所赐。在这之前,只有本科以上的人知道,毕竟,没了它,都毕不了业。...
毕业季,计算机专业应届毕业生应该何去何从
近期大学生纷纷进入就业热潮,但对于现阶段的应届毕业生来说找工作是一件特别苦恼的事情,因...
如何选择适合的网络安全培训课程?并且提供认可度高的证书?
如何选择适合的网络安全培训课程?并且提供认可度高的证书?作者:时间:2023-07-31 15:29:21网...
网络安全培训去哪学靠谱?网络安全培训具体学哪些内容?
网络安全培训去哪学靠谱?网络安全培训具体学哪些内容?作者:时间:2023-07-20 17:34:31网络安...
网络攻击愈演愈烈,网络安全人才培养刻不容缓
21世纪的今天,随着互联网的不断发展,我们的生活已经越来越离不开互联网,但与此同时,信息安全...
汽车网络安全“多管齐下”
全球范围内对于智能汽车的网络安全监管已经进入实质性落地阶段。今年8月,工业和信息化部发布了《关于加强智能网联汽车生产企业及产品准入管理的意见》(下称《意见》),其中,汽车数据安全、网络安全、软件升级成为智能网联...
黑客用AI换脸技术应聘 人工智能安全问题不容忽视
6月28日,FBI发布了一则公告,揭露了有人利用Deepfake技术,在远程应聘中假扮成他人的情况。美...
你的手机为什么不安全了?
手机是当代人使用频率最高的工具,但也成为黑客盗取人们隐私和造成其财产损失的最重要目...
2023了,学JAVA还好找工作吗?
抛开培训机构的那些广告数据,我们来看如今网友们提供的真实就业情况。在原来的一篇文章...
什么是“身份识别与访问管理”,产品与企业有哪些
身份识别与访问管理,IAM(Identity and Access Management 的缩写),即具有单点登录、强大的认...
网络安全需要学心理学吗
网络安全需要学心理学吗盾叔会经常收到一些小伙伴问这样一个问题:未来如果做网络安全工程...
如何30天零基础入门网络安全?自学网络安全有哪些缺点?
网络安全的前景如何,盾叔已经说过很多遍了,今天专题是替一些想入门网络安全,但还迷茫不知所...
学网络安全为什么培训好?
学网络安全为什么培训好?根据最新版网络安全产业人才发展报告指出,在疫情常态化后,国内经济...
苹果要求APP支持账号删除,信息安全有保障了?
5G时代,花样繁多的移动 App可以为我们提供各种各样的服务,不过在使用的时候,你会发现很多AP...
seeker结合ngrok进行社会工程学钓鱼
今天盾叔给大家带来的是seeker结合ngrok进行社会工程学钓鱼的教程,下面话不多说,直接开始!0...
Hash算法进行签名验签
Hash算法进行签名验签Hash算法哈希算法(Hash 算法,Hash 算式,散列算法,消息摘要算法) :将任意长度的二进制值映射为较短的固定长度的二进制值,这个小的二进制值称为哈希值。性质...
什么是网络安全“行业解决方案”?
什么是网络安全行业解决方案?行业解决方案是指由专业咨询机构或个人为某个行业制定的一系...
黑客技术难不难?要怎么学?
黑客技术难不难?要怎么学?作者:时间:2023-08-15 16:53:54网络安全培训 网络安全培训班 ...
网盾安全学院联手湖北大学知行学院共同举办网络安全教育主题讲座
为贯彻落实全国网络安全和信息化工作会议的精神,切实响应湖北省委高校工委、省教育厅关于...
怎么挑选一家真正好的网络安全培训机构?
目前网络安全行业火热,无论是刚毕业的大学生还是有一定经验的it从业者,都希望成为一名网...
什么是安全服务?安全服务产品的企业有哪些
什么是安全服务?安全服务在不同的领域有不同的意义。在信息安全领域,安全服务指的是加强网...
想自学黑客技术?这些网络安全学习网站收藏好
想自学黑客技术?这些网络安全学习网站收藏好如今,网络安全工程师已经成为很多人向往的高薪...
内卷时代,高考后该怎么选专业
经济增速放缓 具体应该怎么去选专业首先声明,这篇不是恰饭文,都是发自肺腑为你们好的干货!...
想转行网络安全行业,究竟是参加培训班还是靠自学?
转行网络安全行业,究竟是参加培训班还是靠自学?一、网络安全行业未来有没有前景?目前,各行...
硬干货:下面这些运维工程师Linux指令你都知道吗?(一)
大家好啊,今天盾叔又来给大家科普内容了!什么?说我水文章,不可能!看来是得给你们点颜色看看,不...
什么是防火墙,防火墙有哪些功能
网络安全领域是安全行业最基本的领域,研究的技术范畴主要围绕防火墙/NGFW/UTM、网闸技术...
学网络安全真的有前途吗?学网络安全真的有钱途嘛
学网络安全真的有前途吗?学网络安全真的有钱途嘛作者:时间:2023-07-13 14:37:14网络安全培...
如何用web渗透渗入一个小姐姐的心
公司新来了运营小姐姐,但是身为废物的我在公司默默无闻,怎么才能让小姐姐注意到我呢,既然要...
技术小白该如何学习网络安全
首先我们说说什么是网络安全?网络安全是指网络系统的硬件、软件及其系统中的数据受到保护...
什么是攻击研判分析工程师
什么是攻击研判分析工程师攻击研判分析工程师是网络安全大方向下网络安全应急与防御岗的...
网盾将与奇安信联合开展QCCA认证培训
基于国家网络空间安全战略,围绕企业用户的网络安全人才需求,实现应用型网络安全人才能力的...
努力方向对了的张朝阳都做了什么
努力方向对了的张朝阳 都做了什么这两天,一则张朝阳劝年轻人不要努力过头的新闻刷屏,这位...
转行网络安全怎么选择就业方向?
转行网络安全怎么选择就业方向?很多想转行学习网络安全的小伙伴们都会遇到不知道朝哪个...
白帽子:聊聊安全界的那些书
感觉今年的安全书籍相对比较萧条,而那本CTF书着实火了一把,其它新出安全书籍其实不多了。...
什么是安全运营工程师
什么是安全运营工程师安全运营工程师是网络安全大方向下网络安全运行与维护岗的一个细分...
什么是网络安全培训?如何选择适合的网络安全培训课程?
什么是网络安全培训?如何选择适合的网络安全培训课程?作者:时间:2023-07-24 17:32:59网络安...
微信表情写入判决“懂的都懂”可心上人的暗语你能懂?
江苏高院发文,微信表情符号也写入判决了。然后各种奇葩案件被网友搜了出来。在一起人格权...
企业网络安全培训方案怎么写?一篇文章教会你
企业网络安全培训方案怎么写?一篇文章教会你随着数字化转型的推进,企业面临着越来越复杂和...
交行一储户近43万元被盗走,人脸识别漏洞成作案工具
最近,交通银行人脸识别漏洞被攻破造成的账户资金盗刷的事件,备受大众关注。究竟是什么情况...
网络安全电子数据取证如何学习
随着互联网技术的发展,各种新型的网络诈骗案件迅速增加,犯罪手法隐蔽,为电子数据取证鉴定...
唐山围殴事件背后的思考:穿裙子不是错
唐山围殴事件背后的思考:穿裙子不是错自从看了昨天的唐山群殴女子视频,小编一天都处于愤怒...
想学WEB渗透 武汉哪个网络安全培训机构好?
想学WEB渗透 武汉哪个网络安全培训机构好?作者:时间:2023-08-07 15:06:36网络安全培训 ...
520这一天网络安全工程师应该怎么撩妹?
网络安全工程师,基本都是直男,这么说你们没意见吧?呵呵,想否认?你点开这篇文章你就是:不会追女...
伊朗网络攻击事件背后黑手——Indra
大家还记得伊朗2021年7月9日和10日,伊朗铁路道路与城市发展系统部被黑客攻击的事情吗?当时...
最大规模的数据泄露发生,黑客拿这些数据会干嘛?
前段时间,Telegram各大频道突然大面积转发某隐私查询机器人链接。网传消息称该机器人泄...
想学网安的一定要来看看这份发展报告
想学网安的一定要来看看这份发展报告作者:时间:2023-06-26 17:36:01网络安全培训 网...
2023数字政府关键词释放的网络安全行业发展信号
当前,数字经济蓬勃发展,数字政府作为建设网络强国、数字中国的基础性和先导性工程,是推进G...
2022年网络安全威胁趋势情况如何?这份报告看一看
近日,Skybox Security发布《2022年脆弱性和威胁趋势》报告,对2022年的脆弱性和趋势进行了...
一张图让你搞清楚网络安全的防护方式
一张图让你搞清楚网络安全的防护方式IPS :入侵防御系统(IPS: Intrusion Prevention Syst...
什么是网络安全“微隔离”技术
微隔离就是把一个无结构无边界的网络分成好多逻辑上的微小网段,以确保每一个网段上只有...
电子商务营销专业转行,做什么前景更好?
现阶段,很多学习电子商务专业的学子们,都遇到了“毕业即失业”的现象。即使找到了工作,也...
麦当劳系统被攻击,韩国和台湾地区的客户信息遭泄露
6月11日,麦当劳披露了一起数据泄露事件,该事件影响了其美国、韩国和台湾地区的相关员工和...
网络安全培训机构排名
一提到网络安全培训机构,总会有一部分人跳出来说这一行培训劝退,建议自学。盾叔经过分析后...
这九种常见的恶意软件 企业一定要防
这九种常见的恶意软件 企业一定要防恶意软件是旨在破坏 IT 系统、泄露私人信息或以某种...
2021年暗网指数报告发布 ;油管事件的源头是密码泄露
全球动态1. 2021年暗网指数报告发布:信息窃取为主要目的PrivacyAffairs 发布了 2021 年暗...
你知道数字时代的间谍离你有多近吗?
以前,间谍们的活动很容易被发觉,而且被发现的原因多种多样。那我们要如何识别身边那些行...
中小型游戏为什么容易被攻击
游戏作为最容易遭到黑客攻击行业,尤其是一些比较出名的平台,越火爆风险就更高一些。究竟为...
湖北武汉网络安全培训中心-渗透测试教程-网盾科技推荐就业
网络安全绝不是简单安装一个杀毒软件就可以解决的。在阻断病毒的过程中,网络攻击会不断升...
警惕!这个黑客组织盯上了我国军工和高校
警惕!这个黑客组织盯上了我国军工和高校作者:时间:2023-06-15 15:16:25网络安全培训 ...
武汉网盾科技与国家网安基地强强联合,共创辉煌!!
公司发展简介武汉网盾网络安全培训基地位于武汉市自然风光优美的东湖高新技术开发区华师...
学习网络安全需要多少钱?网络安全学费是多少?
学习网络安全需要多少钱?网络安全学费是多少?作者:时间:2023-08-19 11:11:40网络安全培训 ...
从特斯拉看自动驾驶与国家网络安全
4月19日上海车展,河南安阳的女车主冲上了车顶控诉所购买的特斯拉汽车存在“刹车失灵”问...
纯小白如何选择网络安全方向
纯小白如何选择网络安全方向我们经常收到的一个问题,纯小白应该如何选择网络安全的方向?的...
学历越高 工资就越高?
学历越高 工资就越高?几乎所有人都会认为,学历高,未来薪资就一定高。所以,从小到大,所有人都...
篡改河南储户红码的“黑客”你知道吗?
最近,河南又爆出一惊人红码丑闻,让人直呼魔幻现实。前有多家暴雷村镇银行的储户被莫名赋红...
中美信息战正式打响了!中国用户被美国长期无差别监听,我们普通人该如何做好隐私防护?
9.5日央视新闻揭露:“美国利用41种专用网络攻击武器装备,对西北工业大学进行了数千次攻击...
想转行互联网行业,是选择软件工程还是网络安全?
想转行互联网行业,是选择软件工程还是网络安全?伴随着互联网行业的不断升温,就业方向也逐...
燃油车正迎来“诺基亚时刻”,新能源车风口“安全”吗?
6月17日晚,知名经济学家任泽平,在他的年中秀上表示,中国乃至全球的传统燃油车正迎来诺基亚...
疫情过后,这个行业人才缺口达327万!还不赶紧入行拿高薪!
前段时间,西工大事件刷屏,很多人才突然意识到我国网络空间安全面临的形势有多恶劣。当前,...
警惕!美国中情局主战网络攻击武器曝光,网络安全问题成最关键
近期,美国通过网络对全球进行监控窃密的又一主战装备曝光,这一主战装备即为美国中央情报局...
中科院博士都只能考基层公务员,本科生还卷得动吗?
昨天我又又又看到这么一条让人焦虑的新闻。第一反应就是啊......西趴......怎么看?一句话...
一文解释清楚网络安全中二进制安全和逆向工程
一文解释清楚网络安全中二进制安全和逆向工程作者:时间:2023-08-16 16:58:29网络安全培训...
什么是攻击面管理
什么是攻击面管理网络安全行业几十年的网络防御都是被动式防御。尽管被动的防御成本更低...
Linux服务器被入侵后,我们该如何排查隐患
看了看前几天的内容,发现有几天没有给大家整点干货了,正寻思着给大家整点啥,冥思苦相不得解...
应用安全产品和企业有哪些?
网盾带你了解那些应用安全产品及企业什么是应用安全?应用安全,就是保障应用程序使用过程和...
网络安全工程师提示你 不要随意把这些东西借给别人
网络安全工程师提示你 不要随意把这些东西借给别人当知根知底的老朋友突然找到你,以工...
年底还找不到工作建议进厂?建议不要听专家的建议,看这篇就有方向了
情叠加经济衰退,今年就业已经成了让政府头疼的一个大问题。一方面一千多万的大学毕业生...
干货分享 | linux系统行为新型实时监控技术
导语:主要是从系统日常行为安全的角度分享一种能满足线上部署、能够将进程或文件创建、网...
【网络安全基础知识】什么是WireShark?有哪些作用?其抓包原理有哪些?
【网络安全基础知识】什么是WireShark?有哪些作用?其抓包原理有哪些?什么是WireShark?wir...
努力却不能成功,真的是你的问题吗?
努力却不能成功, 真的是你的问题吗?很多人都听过一个成功学定律1万小时定律,即1万小时的锤...
从美国财政预算重点看其网安发展
俗话说,对手钱花在那里,他们的作战重点就在那里。美国白宫公布了 2024 财政年度预算草案,...
这个行业人才短缺,连欧盟都急了
近期,欧盟网络安全局 (ENISA) 组织了一场名为“网络安全技能会”的会议。参会人员来自各...
网络安全培训出来为什么好找工作?
盾叔最近看到一个问题,问网络安全培训出来为什么好找工作?在解释这个问题之前,我们应该先要...
「网络安全基础知识」什么是SQL注入?SQL注入攻击的原理是什么?
什么是SQL注入?SQL注入是指web应用程序对用户输入数据的合法性没有判断或过滤不严,攻击者...
什么是主机安全,主机安全未来的发展方向
什么是主机安全,主机安全未来的发展方向。在讨论主机安全之前,先说说主机安全对于我国有多...
又一所顶尖科技大学遭勒索攻击,赎金高达千万
上周末,以色列一所顶尖的科技大学被一个不为人知的网络犯罪团伙入侵并且向其索要价值170...
什么是区块链安全?
什么是区块链?区块链,就是一个又一个区块组成的链条。每一个区块中保存了一定的信息,它们按...
白帽子:SQL注入WAF绕过
SQL注入WAF绕过1 大小写绕过此类绕过不经常使用,但是用的时候也不能忘了它,他原理是基于SQL语句不分大小写的,但过滤只过滤其中一种。2 替换关键字这种情况下大小写转化无法绕过而且正则表达式会替换或删除select、union...
找不到工作,学网络安全好就业吗?
在面临全球经济萧条的状态下,各行各业都被迫处于紧衣缩食的状态,导致裁员热潮一波接着一波...
- 数据加载中,请稍后...