Vic Lin的沙龍

Cross-Site Scripting 攻擊

維克 (Vic Lin)-avatar-img
維克 (Vic Lin)
更新 發佈閱讀 2 分鐘

Cross-Site Scripting簡稱XSS，它指的是駭客在網頁裡插入惡意程式碼，當其他user瀏覽該網頁時，惡意網頁程式碼就會被執行。

舉例來說，假如有一個留言板，駭客故意留了一段javascript程式碼，如果這個網站沒有預防，這段程式碼就會被塞到DB裡，下次有user來瀏覽的時候，留言被query出來，而這段js就會被瀏覽器執行了。

以下透過程式碼來模擬:


正常使用的情況下，看起來就是個簡單的留言板。

raw-image

但是如果我故意留一段js程式碼，然後送出。

raw-image

這段留言就被塞進DB了:

raw-image

然後現在我重整這頁，這段js被執行了。

raw-image
raw-image

這還不打緊，因為只是show出一段文字而已，但若是改成這樣呢?

raw-image

這張圖片就會被塞到DB，query出來長這樣:

raw-image
raw-image

hack.php長這樣(這邊就簡單收到而已，因為我不想做壞事XD):

raw-image

這時候就GG了，看起來是一張顯示不出來的圖片而已，其實背後已經把你的cookie資料送到駭客手中了，駭客可以把這些資料儲存起來，cookie可能有敏感資料在裡面，例如你登入的session id，他就可以偽造是你的身分存取網站，這又稱為CSRF攻擊!

下一篇將介紹如何防禦XSS攻擊。


本筆記參考:
1.https://www.itread01.com/content/1545051098.html
2.https://codertw.com/%E5%89%8D%E7%AB%AF%E9%96%8B%E7%99%BC/46727/

留言
avatar-img
留言分享你的想法！
avatar-img
Vic Lin的沙龍
20會員
161內容數
Vic Lin的沙龍的其他內容
2023/08/13
Vue 3.2 defineEmits 用法
父元件 傳遞方法使用@ <template>    ...    <Login @modalClose="modalClose"/> ... </template> <script setup>     const _modal = ref();     function m
2023/08/13
Vue 3.2 defineEmits 用法
父元件 傳遞方法使用@ <template>    ...    <Login @modalClose="modalClose"/> ... </template> <script setup>     const _modal = ref();     function m
2023/03/25
ASRock AMD DeskMini X300 超高CP自組筆記
前情提要 由於我的筆電已經用了10年，無法再戰下去了，且有預算考量，加上使用電腦幾乎都是定點，只有偶爾回家的時候會需要攜帶，因此最終選擇了迷你電腦，體積小不占空間，又方便攜帶，剛好符合我的需求。 菜單 由於這台無法裝獨顯，所以CPU的部分選擇 AMD R5 3400G(含Vega 11內
Thumbnail
2023/03/25
ASRock AMD DeskMini X300 超高CP自組筆記
前情提要 由於我的筆電已經用了10年，無法再戰下去了，且有預算考量，加上使用電腦幾乎都是定點，只有偶爾回家的時候會需要攜帶，因此最終選擇了迷你電腦，體積小不占空間，又方便攜帶，剛好符合我的需求。 菜單 由於這台無法裝獨顯，所以CPU的部分選擇 AMD R5 3400G(含Vega 11內
Thumbnail
2023/03/10
Nuxt3 使用 useFetch 取得數據
Nuxt3中可使用useFetch來獲取數據，不須再引用axios，相當方便: 本筆記參考: https://juejin.cn/post/7104071421160063012 https://juejin.cn/post/7086472647575339045
2023/03/10
Nuxt3 使用 useFetch 取得數據
Nuxt3中可使用useFetch來獲取數據，不須再引用axios，相當方便: 本筆記參考: https://juejin.cn/post/7104071421160063012 https://juejin.cn/post/7086472647575339045
看更多
你可能也想看
Thumbnail
avatar-avatar
福利熊的吃喝玩樂日誌
當媽媽後的購物日常分享：我的育兒好物推薦！
身為新手媽媽，育兒生活讓你無法逛街？別擔心！本文精選多款網購必備母嬰用品，包含寶寶粥、尿布、玩具、童書、衣物和育成椅，並分享實用的省錢購物技巧，讓你輕鬆購得好物，享受聰明網購樂趣。另有蝦皮雙11購物節與分潤計畫介紹，幫助你省荷包，開創斜槓收入。
#蝦皮#育兒#雙11購物節
Thumbnail
avatar-avatar
福利熊的吃喝玩樂日誌
當媽媽後的購物日常分享：我的育兒好物推薦！
身為新手媽媽，育兒生活讓你無法逛街？別擔心！本文精選多款網購必備母嬰用品，包含寶寶粥、尿布、玩具、童書、衣物和育成椅，並分享實用的省錢購物技巧，讓你輕鬆購得好物，享受聰明網購樂趣。另有蝦皮雙11購物節與分潤計畫介紹，幫助你省荷包，開創斜槓收入。
#蝦皮#育兒#雙11購物節
Thumbnail
avatar-avatar
馬許桑的沙龍
從一件衣服開始的冬季裝備升級 x 雙11蝦皮購物攻略＋蝦皮分潤計畫推薦
本文開箱介紹 Fjällräven Räven Anorak 機能外套，分享其 G-1000® Lite 布料的特性、絕佳機能性、透氣性及簡潔設計。並提供蝦皮雙11購物攻略與介紹蝦皮分潤計畫，讓內容創作者也能透過分享好物賺取被動收入，為迎接寒冬做好裝備與荷包的雙重準備！
#方格子#蝦皮購物#蝦皮分潤計畫
Thumbnail
avatar-avatar
馬許桑的沙龍
從一件衣服開始的冬季裝備升級 x 雙11蝦皮購物攻略＋蝦皮分潤計畫推薦
本文開箱介紹 Fjällräven Räven Anorak 機能外套，分享其 G-1000® Lite 布料的特性、絕佳機能性、透氣性及簡潔設計。並提供蝦皮雙11購物攻略與介紹蝦皮分潤計畫，讓內容創作者也能透過分享好物賺取被動收入，為迎接寒冬做好裝備與荷包的雙重準備！
#方格子#蝦皮購物#蝦皮分潤計畫
Thumbnail
avatar-avatar
KH Huang的沙龍
Golang - Gin #25: Gin中的安全性
跨站腳本攻擊（XSS）是Web應用中最常見的安全威脅之一。它允許攻擊者在受害者的瀏覽器中執行惡意腳本，進而竊取數據、欺騙用戶或進行其他惡意操作。在這篇文章中，我們將探討如何在Gin中預防XSS攻擊，保護你的應用和用戶。
#Gin#Golang#GolangLab
Thumbnail
avatar-avatar
KH Huang的沙龍
Golang - Gin #25: Gin中的安全性
跨站腳本攻擊（XSS）是Web應用中最常見的安全威脅之一。它允許攻擊者在受害者的瀏覽器中執行惡意腳本，進而竊取數據、欺騙用戶或進行其他惡意操作。在這篇文章中，我們將探討如何在Gin中預防XSS攻擊，保護你的應用和用戶。
#Gin#Golang#GolangLab
Thumbnail
avatar-avatar
christy tsang的沙龍
網站漏洞掃描對企業的重要性
在資訊性的時代，幾乎每個企業都有自己的網站，提供最大價值及免費的資訊吸引受眾及潛在客戶，從而提高曝光率及點擊率，有助將其轉換成銷量。若資訊安全的預防措施不足，容易受到網絡攻擊及內部安全問題。在這情況下更顯得網站漏洞掃描對企業的重要性，下文會為大家一一講解網站漏洞掃描。 為什麼企業需要網站漏洞掃描？
#Cybersecuritysolutions #Websitevulnerabilityscan #信息安全
Thumbnail
avatar-avatar
christy tsang的沙龍
網站漏洞掃描對企業的重要性
在資訊性的時代，幾乎每個企業都有自己的網站，提供最大價值及免費的資訊吸引受眾及潛在客戶，從而提高曝光率及點擊率，有助將其轉換成銷量。若資訊安全的預防措施不足，容易受到網絡攻擊及內部安全問題。在這情況下更顯得網站漏洞掃描對企業的重要性，下文會為大家一一講解網站漏洞掃描。 為什麼企業需要網站漏洞掃描？
#Cybersecuritysolutions #Websitevulnerabilityscan #信息安全
Thumbnail
avatar-avatar
阿Han的沙龍
關於Web的安全內容政策 - Content Security Policy (CSP)
文章最後將會提供一套CSP安全檢查工具，保護自身，避免踏入不安全地帶！ 🔔還沒成為Potato會員的朋友點這裡加入哦，撰寫文章還能挖礦打造被動收入 🔔 為什麼制定安全政策這麼重要呢？ 可以制定哪些規則呢？ 這邊僅著重於概念的描述，因此列出幾個常見的來源白名單配置選項，至於完整選項請參考這裡。
#web
Thumbnail
avatar-avatar
阿Han的沙龍
關於Web的安全內容政策 - Content Security Policy (CSP)
文章最後將會提供一套CSP安全檢查工具，保護自身，避免踏入不安全地帶！ 🔔還沒成為Potato會員的朋友點這裡加入哦，撰寫文章還能挖礦打造被動收入 🔔 為什麼制定安全政策這麼重要呢？ 可以制定哪些規則呢？ 這邊僅著重於概念的描述，因此列出幾個常見的來源白名單配置選項，至於完整選項請參考這裡。
#web
Thumbnail
avatar-avatar
阿Han的沙龍
Web世界中潛藏的危機 - 跨網站指令碼(XSS)
互聯網的時代中我們幾乎都離不開網路，那如果能夠對於Web具備基礎的知識，就能夠讓我們在使用網路的過程中提升風險意識，以減少被竊取、盜用的風險，進而保護個人資產，因此多一份知識在身上也就等於多了一份防身的武器，一天學一點，透過微習慣讓我們享受複利的效應。 攻擊的類型有哪些？ 可能造成的危害 資源參考
#XSS#web
Thumbnail
avatar-avatar
阿Han的沙龍
Web世界中潛藏的危機 - 跨網站指令碼(XSS)
互聯網的時代中我們幾乎都離不開網路，那如果能夠對於Web具備基礎的知識，就能夠讓我們在使用網路的過程中提升風險意識，以減少被竊取、盜用的風險，進而保護個人資產，因此多一份知識在身上也就等於多了一份防身的武器，一天學一點，透過微習慣讓我們享受複利的效應。 攻擊的類型有哪些？ 可能造成的危害 資源參考
#XSS#web
Thumbnail
avatar-avatar
阿Han的沙龍
你的資料如何被偷走？ Web安全篇 - 跨站請求偽造(CSRF )
互聯網的時代中我們幾乎都離不開網路，那如果能夠對於Web具備基礎的知識，就能夠讓我們在使用網路的過程中提升風險意識，以減少被竊取、盜用的風險，進而保護個人資產，因此多一份知識在身上也就等於多了一份防身的武器，一天學一點，透過微習慣讓我們享受複利的效應。 CRSF攻擊示意圖 如何防範CSRF？
#web
Thumbnail
avatar-avatar
阿Han的沙龍
你的資料如何被偷走？ Web安全篇 - 跨站請求偽造(CSRF )
互聯網的時代中我們幾乎都離不開網路，那如果能夠對於Web具備基礎的知識，就能夠讓我們在使用網路的過程中提升風險意識，以減少被竊取、盜用的風險，進而保護個人資產，因此多一份知識在身上也就等於多了一份防身的武器，一天學一點，透過微習慣讓我們享受複利的效應。 CRSF攻擊示意圖 如何防範CSRF？
#web
Thumbnail
avatar-avatar
Vic Lin的沙龍
SQL Injection 攻擊與防禦
假如你開發了一個網站，有user登入的功能，駭客故意輸入SQL語法來破壞原本的SQL結構，這就是SQL注入攻擊。
#SQLInjection#SQL注入
Thumbnail
avatar-avatar
Vic Lin的沙龍
SQL Injection 攻擊與防禦
假如你開發了一個網站，有user登入的功能，駭客故意輸入SQL語法來破壞原本的SQL結構，這就是SQL注入攻擊。
#SQLInjection#SQL注入
Thumbnail
avatar-avatar
Vic Lin的沙龍
CSRF攻擊與防禦
CSRF全名為 Cross Site Request Forgery( 跨站請求偽造)。
#CrossSiteRequestForgery#CSRF#XSRF
Thumbnail
avatar-avatar
Vic Lin的沙龍
CSRF攻擊與防禦
CSRF全名為 Cross Site Request Forgery( 跨站請求偽造)。
#CrossSiteRequestForgery#CSRF#XSRF
Thumbnail
avatar-avatar
Vic Lin的沙龍
防禦XSS攻擊
1. 設定cookie為HttpOnly 在一般的情況下，cookie是可以透過javascript來存取的(document.cookie)，如同上一篇所說的，有可能會有XSS攻擊的風險。 將cookie設定為HttpOnly，表示這個cookie無法透過js存取。
#CrossSiteScriptingprevention#XSSprevention
Thumbnail
avatar-avatar
Vic Lin的沙龍
防禦XSS攻擊
1. 設定cookie為HttpOnly 在一般的情況下，cookie是可以透過javascript來存取的(document.cookie)，如同上一篇所說的，有可能會有XSS攻擊的風險。 將cookie設定為HttpOnly，表示這個cookie無法透過js存取。
#CrossSiteScriptingprevention#XSSprevention
Thumbnail
avatar-avatar
Vic Lin的沙龍
Cross-Site Scripting 攻擊
Cross-Site Scripting簡稱XSS，它指的是駭客在網頁裡插入惡意程式碼，當其他user瀏覽該網頁時，惡意網頁程式碼就會被執行。
#CrossSiteScripting#XSS
Thumbnail
avatar-avatar
Vic Lin的沙龍
Cross-Site Scripting 攻擊
Cross-Site Scripting簡稱XSS，它指的是駭客在網頁裡插入惡意程式碼，當其他user瀏覽該網頁時，惡意網頁程式碼就會被執行。
#CrossSiteScripting#XSS
Thumbnail
avatar-avatar
Vic Lin的沙龍
從PHP了解cookie/session原理
從PHP了解cookie/session原理
#PHP#Session#Cookie
Thumbnail
avatar-avatar
Vic Lin的沙龍
從PHP了解cookie/session原理
從PHP了解cookie/session原理
#PHP#Session#Cookie
追蹤感興趣的內容從 Google News 追蹤更多 vocus 的最新精選內容追蹤 Google News