XSS跨站脚本攻击详解：存储型、反射型、DOM型三种类型及防御策略

XSS是跨站点脚本，这也是跨站点脚本。它还分为三种类型的存储，反射和DOM。

当出现意外的脚本指令并在目标网站目标用户浏览HTML文档时执行并执行时，就会发生XSS。

作为HTML注射攻击，XSS攻击的核心思想是将恶意代码注入HTML页面，而XSS采用的注射方法非常聪明。在XSS攻击中，通常涉及三个角色：攻击者，目标服务器和受害者的浏览器。

由于某些服务器无法验证用户的输入安全性，因此攻击者可以通过正常输入均值轻松地合并一些恶意HTML脚本代码。当受害人的浏览器访问目标服务器上注入恶意脚本的页面时，由于其对目标服务器的信任，恶意脚本的执行不会受到阻碍。目前，已经实现了攻击者的目的。

接下来，让我们谈谈跨站点脚本攻击和测试方法！

当使用针对XSS漏洞的Web应用程序手动检测时，最重要的是要考虑输入位置以及输入数据输出的位置。当手动检测XS时，人们不像软件那样疲倦，因此他们必须选择具有特殊含义的角色，因此他们可以快速测试是否存在XSS。

在目标站点上找到输入点，例如查询接口，留言板等；输入一组“特殊字符 +唯一标识字符”，单击提交，检查返回的源代码以及是否有相应的处理；通过搜索找到唯一的字符，并结合唯一字符之前和之后的语法，以确认是否可以构建执行JS的条件（结构关闭）：提交构造的脚本代码以查看是否可以成功执行。如果成功执行，则意味着存在×SS漏洞。跨场脚本攻击的实际证明

XSS平台构建和背景使用（Cookie获取）

普通网站：普通网站：脆弱性

用户：访问黑客提供URL地址信息，从而受到攻击

反思性XSS（帖子）以获取用户密码

攻击漏洞（D：lphpstudyiwwwwipikachulpkxsssslxcookielpost.html）

攻击漏洞（D：lphpstudyiwwwwipikachulpkxsssslxcookielpost.html）

XSS网络钓鱼攻击过程演示

网络钓鱼攻击利用页面（D：1phPstudywwwwwwwwwwwwipikachulpkxsssslxfish）

网络钓鱼攻击利用页面（D：1phPstudywwwwwwwwwwwwipikachulpkxsssslxfish）

XS获取用户键盘记录

什么是跨域？

当任何协议，主机名（主要域名，子域名）或端口不同时，它称为不同的域。我们使在不同域之间请求数据的操作成为跨域操作。

同源策略

出于安全原因，所有浏览器都同意了“相同原产政策”。相同的原始策略禁止加载页面或执行与自己起源不同的任何脚本。 JS不能用于不同域之间的操作。例如：x.com下的js域名无法在y.com域名下操作对象

那么，为什么我们需要相同的原始策略呢？例如，通过JS将恶意网站页面嵌入到银行的登录页面中（两个与源不同）。如果没有同源限制，则恶意网页上的JavaScript脚本可以在用户登录到银行时获取用户名和密码。

以下标签是在跨域中加载资源（资源类型受到限制）不受同源策略的限制。

相同的原始政策修改

D：mphpstudyiwwwwwwwwwwipikachulpkxsssslrkeypresslrkserver.php

将访问权限控制与以前的情况设置为 *，并将其设置为 *，使每个人都可以访问它。

天东密码的解释

输入设置恶意JS代码：

所有信息都放在我的个人文件中。如果需要，请关注我：发送私人消息以回复“信息”以获取网络安全面试信息，源代码，笔记和视频架构技术！