-
存储型查看全部
-
反射性查看全部
-
xss防范措施
1、编码
对用户输入的数据进行HTML Entity编码
2、过滤
移除用户上传的DOM属性，如onerror等
移除用户上传的Style节点、Script节点、Iframe节点等
3、校正
避免直接对HTML Entity解码
使用DOM Parse转换，校正不配对的DOM标签
查看全部 -
一、
1、用户输入过程，进行转译（客户端/服务端）。
2、展示过程：反转译（domParse），文本转成dom对象，对dom进行配对，校验。
if (tag ==='script' || tag === 'style' || tag === 'link' || tag === 'iframe' || tag === 'frame') return;
// for (var i = 0, len = attrs.length; i < len; i++) { // results += " " + attrs[i].name + '="' + attrs[i].escaped + '"'; // } // 本来是展示属性，注释后就不显示属性，就屏蔽了onclick, alert等属性查看全部 -
一、get到数据之后，需要对数据进行解码，配对校验。
查看全部 -
一、xss的防御措施
1、编码：字符用转义字符显示。字符，十进制，转义字符
2、过滤：（1）移除用户上传的dom属性，如onerror等。（2）移除哦用户上传的style节点、script节点、iframe节点。
3、校正：（1）避免直接对html entity解码。（2）使用dom parse转换，校正不配对的dom标签。
查看全部 -
一、express -e ./ 提示command not found。
1、原因：没有安装express。
2、执行
npm install express --save
3、执行
sudo npm install -g express-generator
4、-e是ejs构建模板引擎
二、创建项目
1、进入文件cd xss
2、express -e ./
3、npm install，安装所有依赖
四、项目文件
1、routes/index.js，用户url的search中的内容,req.query
2、视图层：views/index.ejs，服务端用模板的方式将接口中下发的字段解析下来。
<%- xss %>
（1）-：是否对html进行转译，如果不进行转译，则用-。
如果允许输出html，就用-。
五、更改内容后需要npm start重新运行一下，才能更新页面内容。
查看全部 -
一、xss的攻击方式：反射型、存储型。
二、反射型：发出请求时，xss代码出现在url中，作为输入提交到服务器端，服务器端解析后响应，xss代码随响应内容一起传回给浏览器，最后浏览器解析执行xss代码。这个过程像一次反射，故叫反射型xss。
三、express -e ./ 提示command not found。
1、原因：没有安装express。
2、执行
npm install express --save
3、执行
sudo npm install -g express-generator
4、-e是ejs构建模板引擎
四、创建项目
1、进入文件cd xss
2、express -e ./
3、npm install，安装所有依赖
4、npm start
五、终端输入clear，能清空之前的终端数据。
六、存储型：存储型xss和反射型xss的差别仅在于，提交的代码会存储在服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交xss代码。
查看全部 -
课程的安排
查看全部 -
面向的用户
查看全部 -
XSS 课程介绍
查看全部 -
//反射性
//发出请求的时候，xss代码出现在url中，作为输入提交到服务器端
//服务器端解析响应后，xss代码随响应的内容一起传给浏览器，最和浏览器解析执行xss代码
//这个过程像一次反射查看全部 -
校正:
避免直接对HTML Entity解码
使用DOM Parse转换,校正不配对的DOM标签
查看全部 -
XSS的防御措施
编码
过滤
校正
查看全部 -
存储型XSS 和反射性XSS
查看全部
举报