Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么

發(fā)布時(shí)間：2021-11-03 11:08:02 來(lái)源：億速云閱讀：222 作者：iii 欄目：開(kāi)發(fā)技術(shù)

這篇文章主要介紹“Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么”，在日常操作中，相信很多人在Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么問(wèn)題上存在疑惑，小編查閱了各式資料，整理出簡(jiǎn)單好用的操作方法，希望對(duì)大家解答”Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么”的疑惑有所幫助！接下來(lái)，請(qǐng)跟著小編一起來(lái)學(xué)習(xí)吧！

DOM型XSS攻擊

DOM型XSS攻擊頁(yè)面實(shí)現(xiàn)的功能是在“輸入”框中輸入信息，單擊“替換”按鈕時(shí)，頁(yè)面會(huì)將“這里會(huì)顯示輸入的內(nèi)容”替換為輸入的信息，例如當(dāng)輸入“11”的時(shí)候，頁(yè)面將“這里會(huì)顯示輸入的內(nèi)容”替換為“11”，如圖75和圖76所示。

圖75　HTML頁(yè)面

Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么

圖76　替換功能

當(dāng)輸入<img src=1 οnerrοr=“alert(/xss/)”/>時(shí)，單擊“替換”按鈕，頁(yè)面彈出消息框，如圖77所示。

Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么

圖77　DOM XSS

從HTML源碼中可以看到，存在JS函數(shù)tihuan()，該函數(shù)的作用是通過(guò)DOM操作將元素id1（輸出位置）的內(nèi)容修改為元素dom_input（輸入位置）的內(nèi)容。

DOM型XSS代碼分析

DOM型XSS程序只有HTML代碼，并不存在服務(wù)器端代碼，所以此程序并沒(méi)有與服務(wù)器端進(jìn)行交互，代碼如下所示。

<html>
<head>
    <meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
    <title>Test</title>
    <script type="text/javascript">
        function tihuan()
        {
            document.getElementById("id1").innerHTML = document.getElementById("dom_input").value;
        }
    </script>
</head>
<body>
    <center>
    <h7 id="id1">這里會(huì)顯示輸入的內(nèi)容</h7>
    <form action="" method="post">
        <input type="text" id="dom_input" value="輸入"><br />
        <input type="button" value="替換" onclick="tihuan()">
    </form>
    <hr>
    </center>
</body>
</html>

單擊“替換”按鈕時(shí)會(huì)執(zhí)行JavaScript的tihuan()函數(shù)，而tihuan()函數(shù)是一個(gè)DOM操作，通過(guò)document.getElementByld的id1的節(jié)點(diǎn)，然后將節(jié)點(diǎn)id1的內(nèi)容修改成id為dom_input中的值，即用戶輸入的值。當(dāng)輸入<img src=1 οnerrοr=“alert(/xss/)”/>時(shí)，單擊“替換”按鈕，頁(yè)面彈出消息框，但由于是隱式輸出的，所以在查看源代碼時(shí)，看不到輸出的XSS代碼。

到此，關(guān)于“Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么”的學(xué)習(xí)就結(jié)束了，希望能夠解決大家的疑惑。理論與實(shí)踐的搭配能更好的幫助大家學(xué)習(xí)，快去試試吧！若想繼續(xù)學(xué)習(xí)更多相關(guān)知識(shí)，請(qǐng)繼續(xù)關(guān)注億速云網(wǎng)站，小編會(huì)繼續(xù)努力為大家?guī)?lái)更多實(shí)用的文章！

向AI問(wèn)一下細(xì)節(jié)

Web網(wǎng)絡(luò)安全漏洞的DOM型XSS攻擊原理是什么

DOM型XSS攻擊

DOM型XSS代碼分析

猜你喜歡

最新資訊

相關(guān)推薦

相關(guān)標(biāo)簽