用户工具

站点工具


start:concept

差别

这里会显示出您选择的修订版和当前版本之间的差别。

到此差别页面的链接

start:concept [2017/06/02 05:09] (当前版本)
xss 创建
行 1: 行 1:
 +# 历史
 +所有的漏洞都有历史,知道历史才能更好的理解这个漏洞。其实xss的历史跟web发展的历史不谋而合。以前没有xss,为什么,因为web不需要跟用户交互,叫做web1.0时代。到了web2.0,与用户交互变多了,就有了用户输入,页面输出,xss的时代到来了
  
 +
 +# 含义
 +xss其实叫css,cross site script,跨站脚本,然而简称被别人用了,只好改名叫xss了。跨站?突破的是浏览器的同源策略。脚本?通常认为是javascript。跨站脚本,听着有点晕,直接来个代码
 +
 +
 +```
 +<script src="​http://​www.b.com/​xss.js"></​script>​
 +```
 +
 +这个js在www.b.com上面,你如果能让www.a.com执行这个代码,就说明www.a.com存在xss漏洞,这样理解就容易了吧
 +
 +# SQL注入
 +因为我是先学SQL注入,再学习XSS的,所以总喜欢将两个做对比。SQL注入在十年前跟现在的xss一样普遍,现在却是此消彼长。两者的利用也很相似,虽然一个是后端的sql语句的注入,一个是前端的js代码的注入,本质上都是相同的。想方设法闭合掉正常语句,从而执行我们输入的代码。虽然是一句话,这里面的技巧就多了去了
start/concept.txt · 最后更改: 2017/06/02 05:09 由 xss