脚本宝典收集整理的这篇文章主要介绍了跨站式脚本(Cross-SiteScripting)XSS攻击原理分析第1/4页，脚本宝典觉得挺不错的，现在分享给大家，也给大家做个参考。

使用过ASP的同学一定见过这样的代码： 
Hello,

假如我传入的name的值为： 

这样就可以直接盗取用户的cookie。所以我就可以发送一条链接地址让别人去点：
当然这样做没有一点隐蔽性，虽然前面的xxx.com瞒过了少数人，但大多数人可以辨认出后面的javascript代码，所以，我只需要将后面的javascript代码转换成URL的16进制，如： 上面的URL你还认得吗？除非你把它转换出来。（进制转换可以使用Napkin工具，哎，太坏了。。）

根本原因
1. 没有对输入进行约束，没有对输出进行编码
2. 没有严格区分“数据”和“代码”
示例
发现大名鼎鼎的淘宝网也存在这样的漏洞，我们在搜索框中输入：


这样，我们已经修改了淘宝原有的页面，在下面嵌入了百度的首页。效果如图：

使用时机
我尝试在各种不同网站寻找 XSS漏洞， baidu, amazon.cn, youku.com, dangdang.com等等。结果，我发现XSS漏洞非常普遍！其实XSS利用的是网页的回显，即，接收用户的输入，然后再在页面显示用户的输入。总结 一下几个可能会出现漏洞的地方：

搜索引擎
1、留言板
2、错误页面
3、通过在上面那些类型的页面输入一些特殊的字符（包括< > / "），如：</?jjkk>，然后在结果页中的源码处搜索是否存在原样的：</?jjkk>，如果存在，恭喜你，发现了一个XSS漏洞。

脚本宝典总结

以上是脚本宝典为你收集整理的跨站式脚本(Cross-SiteScripting)XSS攻击原理分析第1/4页全部内容，希望文章能够帮你解决跨站式脚本(Cross-SiteScripting)XSS攻击原理分析第1/4页所遇到的问题。

如果觉得脚本宝典网站内容还不错，欢迎将脚本宝典推荐好友。

本图文内容来源于网友网络收集整理提供，作为学习参考使用，版权属于原作者。
如您有任何意见或建议可联系处理。小编QQ：384754419，请注明来意。