之前看了幾篇關於xss攻擊的部落格，想到之前做過的專案，內心一片哇涼哇涼，趕緊測試了下，果然有bug。
首先，分析一下；我之前做了乙個搜尋頁面，如果沒有搜尋到則返回使用者的搜尋詞，這裡就存在問題了，我現在來模擬下。
首先正常輸入:無符號
這沒什麼問題。
當我們輸入：
當然這只是簡單的對頁面元素的改變，當注入js**時就存在使用者資訊暴露的危險
所以說，永遠不要相信使用者，這種xss攻擊則只需要對使用者輸入進行過濾，將特殊字元轉換為轉移字元即可，貼下**:
function經過處理後的字串再輸出到頁面，如下parserstring(str)
str_length--;
}str = copy_str.join('');
return
str;
}
XSS攻擊與防禦方法
摘要 1 介紹xss攻擊 2 如何防禦 跨站指令碼攻擊 cross site scripting 一種經常出現在web應用中的計算機安全漏洞 它允許惡意web使用者將 植入到提供給其它使用者使用的頁面中 xss攻擊的危害包括 1 盜取各類使用者帳號，如機器登入帳號 使用者網銀帳號 各類管理員帳號 2...
xss攻擊與防禦
cross site scripting跨站指令碼攻擊 利用js和dom攻擊。盜用cookie，獲取敏感資訊 破壞正常頁面結構，插入惡意內容 廣告.劫持前端邏輯 ddos攻擊效果 分布式拒絕服務攻擊 server limit dos，http header過長，server返回400 攻擊方式 發出...
xss攻擊與防禦
xss有三種型別 儲存型特點 經過後端和資料庫 危害較大 反射性經過後端，不經過資料庫 dom型 不經過後端和資料庫 xss平台 xss無過濾 從原始碼可以看出對input沒有做任何過濾 可以直接構造 payload 輸入框中輸入即可成功執行 xss僅用str replace過濾 這裡的正規表示式導...