1. XSS的存在,一定是伴随着输入,与输出2个概念的。 

2. 要想过滤掉XSS,你可以在输入层面过滤,也可以在输出层面过滤。 
3. 如果输入和输出都没过滤。 那么漏洞将是显而易见的。 
4. 作为第一个最基础的例子, 我们拿出的是一个什么都没过滤(其实还是有些转义的,主要没过滤< , >)的例子。 这种例子出现在腾讯这种大网站的概率不是很高。 但是还是让我找到了一个。 
5. http://app.data.qq.com/?umod=commentsoutlet&act=count&siteid=3&libid=9&dataid=1480&score=1&func=haoping&_=1353475261886 
6. 对于上面这个例子。我们可以看到什么是输入,什么是输出。

xss实例-什么都没过滤的情况 – 网站安全 – 自学插图

7. 经过测试,我们发现,score这个【输入】参数,没有进行任何过滤,  
即,输入是什么,输出就是什么? 通俗点就是“吃什么,拉什么”。。。 
如下图:

xss实例-什么都没过滤的情况 – 网站安全 – 自学插图1

网页中看到的效果如下:

xss实例-什么都没过滤的情况 – 网站安全 – 自学插图2

8. 既然可以直接输入 < > HTML标签,接下来的利用也就相对简单了。 

http://app.data.qq.com/?umod=commentsoutlet&act=count&siteid=3&libid=9&dataid=1480&score=<img src=1 onerror=alert(1);>&func=haoping&_=1353475261886

xss实例-什么都没过滤的情况 – 网站安全 – 自学插图3

修复方案:

这种XSS属于最基本的一类XSS,也最好防御。。 
它的模型是: 
<HTML标签></HTML标签> 
[输出] 
<HTML标签></HTML标签> 
或 
<HTML标签>[输出]</HTML标签> 
a. 通常,我们只需要在输出前,将 < , > 过滤掉即可。 
b. 这类XSS在小型网站中比较常见,在大型网站中少见。  
c. 这类XSS通常都被浏览器的XSS过滤器秒杀了,所以一般来说,威力较小。 
d. 对于普通用户来说,请使用IE8及以上版本(并开启XSS过滤器功能,默认开启),或chrome浏览器,将可以防御大部分此种类型的XSS攻击。

    上一篇: WEB第三方应用SQL语句安全规范 - 网站安全 - 自学

    下一篇: xss实例-输出在之间的情况 - 网站安全 - 自学php
本博客所有文章如无特别注明均为原创。
复制或转载请以超链接形式注明转自起风了,原文地址《xss实例-什么都没过滤的情况 – 网站安全 – 自学
   

还没有人抢沙发呢~