#原创分享#XSS测试
  

adds 12611人觉得有帮助

{{ttag.title}}
本帖最后由 adds 于 2021-2-1 10:42 编辑

    一、
    跨站脚本攻击,英文全称是Cross Site Script,本来缩写是CSS,但是为了和层叠样式表(Cascainding style sheet,CSS)有所区别,所以在安全领域叫做“XSS”。   
    XSS攻击,通常指黑客通过“HTML注入”篡改了网页,插入了恶意的脚本,从而在用户浏览网页时,控制用户浏览器的一种攻击。在一开始,这种攻击的演示安全是跨域的,所以叫做“跨站脚本”。但是发展到今天,由于JavaScript的强大功能以及网站前端应用的复杂化,是否跨域已经不再重要。但是由于历史原因,XSS这个名字却一直保留下来。   
     XSS长期以来被列为客户端Web安全中的头号大敌。因为XSS破坏力强大,且产生的场景复杂,难以一次解决。
    那么,什么是XSS呢?   
     假设一个用户把用户输入 的参数直接输出到页面上:   
   

    可以尝试将上面的代码在社区进行提交,是提交不上去的。
    报错:
   
    原因应该社区针对用户提交的数据做了安全策略。


    在正常情况下,用户向param提交的数据会展示到页面中,比如提交:   
      
     查看页面源代码:     
     
     如果此时提交一段HTML代码:   
   
    发现alert(/adds/)在当前页面执行了。
    查看源代码:   
   
    用户输入的Script脚本,已经被写入页面了。

        XSS类型:  
  1、反射型XSS   
反射型XSS只是简单地把用户输入的数据“反射”给浏览器。也就是说,黑客往往需要诱使用户“点击”一个恶意链接,才能攻击成功。反射型XSS也叫做“非持久型XSS”(Non-persistent XSS)。  
2、存储型XSS   
存储型XSS会把用户输入的数据“存储”在服务器端。这种XSS具有很强的稳定性。    比较常见的场景就是,黑客写下一篇包含有恶意JavaScript代码的博客文章,文章发表后,所有访问该博客文章的用户,都会在他们的浏览器中执行这段恶意的JavaScript代码。黑客把恶意的脚本保存到服务器端,所以这种XSS攻击就叫做“存储型XSS”。    存储型XSS通常也叫做“持久型XSS”(Persistent XSS),因为从效果上来说,它存在的时间是比较长的。   
3、DOM Based XSS
这种类型的XSS并非按照“数据是否保存在服务器端”来划分,DOM Based XSS从效果上来说也是反射型XSS。单独划分出来,是因为DOM Based XSS的形成原因比较特殊,发现它的安全专家门专门提出了这种类型的XSS。出于历史原因,也就单独把它作为一个分类。
通过修改页面的DOM节点形成的XSS,称之为DOM Based XSS。

     看如下代码:
      

     点击“write”按钮后,会在当前页面插入一个超链接,其地址为文本框的内容:
     

    在这里,“write”按钮的onclick事件调用了test()函数。而在test()函数中,修改了页面的DOM节点,通过innerHTML把一段用户数据当作HTML写入到页面中,这就造成了DOM base XSS。

    构造如下数据:
   

    输入后,页面代码就变成了:
   

    首先用一个单引号闭合掉href的第一个单引号,然后插入一个onclick事件,最后再用注释符“//”注释掉第二个单引号。

    点击这个新生成的链接,脚本将被执行:
   

    实际上,这里还有另外一种利用方法--除了构造一个新事件外,还可以选择闭合掉<a>标签,并插入一个新的HTML标签。尝试如下输入:
   

    页面代码变成了:
   

    脚本被执行:
   

    更换里面的xss为adds试下:
   

    二、VMware导出报错
   1、VMware上的虚拟机想导出为ova文件,但导出时提示导出失败。
   

   2、查看虚拟本配置,原因是关联了光驱。
   


   取消当前的勾选,连接到“使用物理驱动器”。

   3、再次导出成功。
   

    三、虚拟机登录异常
   1、报错“引用的帐号已锁定,且可能无法登录”。
   

   2、查看VDC是否有锁定用户
   

  3、排查发现是Windows界面不能登录,VDI可以登录。
   怀疑是windows禁用了用户。
   使用虚拟机之前做的快照进行恢复。

打赏鼓励作者,期待更多好文!

打赏
2人已打赏

TCN 发表于 2021-2-1 10:56
  
AF防护这个,是基本功能还是需要WAF授权?
zhao_HN 发表于 2021-2-1 10:57
  
感谢分享,学习下具体测试
新手078326 发表于 2021-2-3 09:52
  
感谢楼主无私分享,学习一下
一条软白鲨 发表于 2021-2-3 13:55
  
学习了,楼主分享的很详细,图文并茂的形式是很好的学习材料,可以自己试试
司马缸砸了光 发表于 2021-2-7 13:10
  
多谢楼主分享排查方法,学习了。
新手078326 发表于 2021-2-8 11:20
  
感谢大佬的分享,值得学习
新手517842 发表于 2021-2-8 11:26
  
多谢楼主分享无法正常使用的排查方法,学习了。
新手486484 发表于 2021-2-23 12:06
  

多谢楼主分享排查方法,学习了。
一个无趣的人 发表于 2021-11-14 18:14
  
楼主的文章图文并茂,清晰易懂,看完这波操作可以轻松上手了,如遇到问题再向楼主请教~
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
干货满满
2024年技术争霸赛
技术笔记
GIF动图学习
技术咨询
产品连连看
新版本体验
功能体验
标准化排查
自助服务平台操作指引
信服课堂视频
深信服技术支持平台
2023技术争霸赛专题
通用技术
信服圈儿
答题自测
每周精选
畅聊IT
技术圆桌
安装部署配置
安全攻防
上网策略
SDP百科
专家问答
在线直播
网络基础知识
纪元平台
华北区拉练
秒懂零信任
技术晨报
场景专题
MVP
升级
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
卧龙计划
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
北京区每日一练
故障笔记

本版版主

396
137
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人