跨站脚本（cross site script）简称XSS利用

1.利用字符编码 （1）字符编码在跨站脚本中经常运用到，透过这种技巧，不仅能让XSS代码绕过服务端的过滤，还能更好的隐藏ShellCode （2）使用一个XSS编码工具，以便对字符串进行十进制和十六进制的编码解码，该工具还可以实现ESCAPE转码和解码 例如：<img src="javascript:alert('xss');"> 编码后： ...

原理： XSS攻击的核心思想就是在HTML页面中注入恶意代码服务器过滤不严格导致攻击者输入的恶意js代码被web前端执行XSS攻击中，一般有三个角色参与：攻击者、目标服务器、受害者的浏览 危害： 获取管理员cookie/提权，网站篡改，敏感信息泄露，钓鱼，网站挂马，客户端攻击，传播蠕虫 防御： 对用户输入和web输出均进行过滤，过滤特殊字符,",#，特殊标签，JS动作等等；限制用户输入数据的类型/长度；黑白名单；通过使cookie和系统IP绑定，来降低cookie泄露后的危险；httponly：禁

代码，提交至服务器（可不经过），前端和后端均未对用户的输入和输出进。恶意代码不经过服务器，无需和服务器交互，发生在客户端处理数据时。等自闭和标签无需闭合，结尾尖括号也可省略，属性后记得加空格。、存在过滤属性名、标签名的情况，如果过滤不严谨可尝试双写；危害：钓鱼欺骗、获取会话、会话劫持、网页蠕虫病毒等；恶意代码经过服务器且存储于服务器（文件，数据库）、某些属性被替换，可选择大小写绕过限制。、标签内增加空白符，不影响标签原有意义。、无尖括号，可选择用事件触发。时，可选用邮箱格式，用户名。型（也算反射型的一种）

xss笔记

Nginx 防止跨站脚本 Cross-Site Scripting (XSS)

当其他用户浏览该页面时，嵌入的脚本就会被执行，从而可能对用户的数据安全构成威胁。：攻击者构造一个包含恶意脚本的URL，当用户点击这个链接时，恶意脚本会作为查询字符串的一部分发送到Web应用，如果Web应用没有正确处理这个输入，则会将其反射回响应中并在用户的浏览器中执行。：利用现代浏览器的安全功能，如沙箱（Sandbox）模式，它可以限制iframe内的脚本执行能力，从而减少XSS攻击的影响。：对用户的编辑和发布权限进行严格控制，特别是那些能够影响到其他人看到的内容的用户。

XSS：跨站脚本攻击(Cross Site Scripting)，为不和 CSS混淆，故将跨站脚本攻击缩写为XSS。 XSS是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

XSS是指开发者在开发网页时，对用户的输入没有进行安全过滤，导致用户在可以输入内容的地方，插入脚本语句，执行恶意脚本代码，可以对数据库、服务器、用户等造成影响和危害，危险等级很高，也很常见。

答案是肯定的，对于将要放置到HTML页面body里的不可信 数据，进行HTML编码已经足够防御XSS攻击了，甚至将HTML编码后的数据放到HTML标签（TAG）的属性（attribute）里也不会产生 XSS漏洞（但前提是这些属性都正确使用了引号），但是，如果你将HTML编码后的数据放到了<SCRIPT>标签里的任何地方，甚至是 HTML标签的事件处理属性里（如onmouseover），又或者是放到了CSS、URL里，XSS攻击依然会发生，在这种情况下，HTML编码不起作 用了。

一般来说只要Web网站中涉及到的用户交互（如：输入输出、搜索、查询等按钮）的位置，都可能存在XSS漏洞【常见的XSS地方有：登录注册、提交留言评论、a标签连接地址等等】。

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。

绕过：闭合。

XSS(Cross-Site Scripting)跨站脚本攻击是一种常见的网络安全漏洞。攻击者通过在网页中注入恶意脚本代码,当用户浏览这些页面时,恶意代码会在用户的浏览器中执行,从而盗取用户信息、篡改页面内容或进行其他恶意操作。XSS攻击虽然是一个古老的安全问题,但至今仍然威胁着Web应用的安全。通过采取合适的防御措施,可以大大降低XSS攻击的风险。开发人员需要时刻保持安全意识,在开发过程中注意防范XSS漏洞。

等待DOM完全加载后，动态创建script元素，就实现了异步加载JS文件而不影响HTML加载和页面渲染。