黑盒手動測試
對於非富文字在輸入框中輸入特殊字元 提交
在提交後的頁面檢視源**根據關鍵字tiehua查詢源**中的tiehua前後的』是否已經被轉義成
&apos 如果未被轉義說明這個輸入框存在xss漏洞的嫌疑（提交bug）。
對於富文字輸入框輸入
如果頁面有出現排版問題或者js錯誤說明這個輸入框存在xss漏洞的嫌疑（提交bug）。
該鏈結包含了4個引數，對於這種的測試方法和輸入框測試方法一樣只不過把引數當成你的輸入框進行
提交。如：
如何利用xss漏洞，感興趣的看情況線下交流呵呵。
黑盒工具測試
推薦工具
白盒**掃瞄測試
$!productname
此類的非富文字**我們可以強制要求規範為：
$!stringescapeutil.escapehtml ($!productname)
對於富文字的我們可以強制要求**規範為通過過濾層過濾。
根據以上的兩條規則，我們可以從白盒**上去進行靜態掃瞄**是否按照規範編寫來預防和篩選xss漏洞。
滲透測試 xss漏洞
存在輸入點 輸入內容被放入html 中 空格 看有沒有逃逸 常用語句 大小寫繞過 雙寫繞過 利用其它標籤構造 本質上是利用js事件 document.referer屬性 window.name屬性 location屬性 innerhtml屬性 documen.write屬性 編碼繞過 劫持訪問 盜用...
XSS漏洞分析
網頁 客戶端 傳送請求時隱藏可自動執行的指令碼，從而使指令碼跨站執行 cross site scripeting 達到攻擊目的。由於縮寫和css衝突，故使用xss。伺服器介面 http ip port test?name aaa hobby bbb伺服器大致處理過程 string param1 re...
XSS漏洞筆記
0x01xss跨站指令碼攻擊簡介 xss漏洞是攻擊者在web頁面插入惡意的script 當使用者瀏覽該頁面時，嵌入其中web裡面的script 會被執行，從而達到惡意攻擊使用者的特殊目的。反射型xss只是簡單的把使用者輸入的資料 反射 給瀏覽器.也就是說需要誘使使用者 點選 乙個惡意鏈結，才能攻擊成...