XSS漏洞挖掘利用总结（附个人常用payload）

🕗 发布于 2024-09-21 03:34 xss 前端 web日志

基础

挖掘思路

案例

绕过思路

个人常用

基础

原理

攻击者嵌入恶意脚本代码到用户会访问到的页面中，用户访问该页面的时候，就会直接执行恶意的js代码

当浏览器解析html的时候遇到<script>、事件属性、伪协议就会进行js解析

类型

反射型：触发点在url参数里面，提交数据到服务器，服务器会返回给浏览器，需要手动发给用户，用户点击之后触发js代码

存储型：提交的恶意代码存储在数据库里面，只要用户访问就可以执行恶意代码

dom型：特殊的反射型xss，并没有经过服务器的处理写到了页面里,典型的就是jquery-xss

self-xss：只有自己才能看到的xss

危害

1.只要js代码能做的事xss就可以做到，最常见的就是盗取cookie或者窃取敏感信息

2.进行网页挂马，篡改网页页面

3.网络钓鱼，诱骗用户访问你的钓鱼页面

4.权限维持，记录后台登录的账户密码

5.配合浏览器漏洞进行rce

6.搭配其他漏洞组合拳，例如ssrf配合反射型xss进行命令执行

原文地址：https://blog.csdn.net/u012206617/article/details/142354972

免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

上一篇：echarts实现地图下钻并解决海南群岛显示缩略图
下一篇：JS落叶动画代码分析

C++第十二节课模板初阶和string引入
我们不需要写具体的函数，而是写这个函数的模板，编译器会根据模板生成对应的函数；两者的作用是等效的！用模板完成的功能有时候也叫泛型编程；可以通过定义多个模板参数来实现；函数模板根据调用，自己退到模板参数
阅读更多2024-09-23
JS常用数组方法总结
JavaScript 数组（Array）提供了许多内置方法来处理数组元素，这些方法大致可以分为几类：添加/删除元素、遍历数组、搜索元素、转换数组、排序和归约（reduce）等。下面我将详细介绍一些常用
阅读更多2024-09-23
力扣：用栈实现队列
用栈实现队列
阅读更多2024-09-23
深入Android UI开发：从自定义View到高级布局技巧的全面学习资料
什么是自定义View：了解自定义View的基本概念和重要性，为深入学习打下基础。高级UI技巧：探索高级UI设计的技巧，提升应用的视觉效果。UI总结：总结UI开发的关键点和最佳实践，为未来的项目开发提供
阅读更多2024-09-23
Python_str(x)_x.str.something区别
对于NumPy数组，.tostring() 方法（现在推荐使用 .tobytes()，因为 .tostring() 在未来的版本中可能会被弃用）会将数组中的数据以字节的形式返回，这通常用于需要将数组数
阅读更多2024-09-23
MySQL 左右连接
在 MySQL 中，左连接（LEFT JOIN）和右连接（RIGHT JOIN）都是用于在多个表之间进行关联查询的操作。这个查询将返回所有客户的姓名以及他们的订单金额（如果有订单的话）。如果某个客户没
阅读更多2024-09-23
ABAP 学习t-code DWDM
学习t-code DWDM ，里面有很多例子展示，且能看到源代码。
阅读更多2024-09-23
【Centos 8安装VNC及多用户配置详细教程】
本问介绍了Centos 8系统安装VNC和多用户配置的详细教程。
阅读更多2024-09-23
ubuntu中Python解释器位置
在Ubuntu系统中，Python解释器通常位于。但是你程序使用如下解释器配置即可运行访问。你查python版本可能不是3.10。
阅读更多2024-09-23
Milvus - 构建向量数据库并进行相似度查询
首先，我们通过 Python 的pymilvus库连接 Milvus 并创建集合。# 连接 Milvus# 定义集合 schemafields = [FieldSchema(name="em
阅读更多2024-09-23

XSS漏洞挖掘利用总结（附个人常用payload）

基础

相关文章