今天在漏洞盒子找漏洞的時發現一個理財網站具體的就不透露了就試了試 結果發現竟然存在一個存儲性xss于是決定搞一搞。其實xss在互聯網當中是非常常見的，接下來我就給大家介紹下xss漏洞的原理以及實戰。

什么是XSS漏洞

XSS攻擊：跨站腳本攻擊(Cross Site Scripting)，為不和層疊樣式表(Cascading Style Sheets, css)的縮寫混淆。故將跨站腳本攻擊縮寫為XSS。XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。比如這些代碼包括html代碼和客戶端腳本。攻擊者利用XSS漏洞旁路掉訪問控制——例如同源策略(same origin policy)。這種類型的漏洞由于被駭客用來編寫危害性更大的phishing攻擊而變得廣為人知。對于跨站腳本攻擊，黑客界共識是：跨站腳本攻擊是新型的“緩沖區溢出攻擊“，而JAVAScript是新型的“ShellCode”。

XSS攻擊的危害包括

1. 盜取各類用戶帳號權限(控制所盜竊權限數據內容)，如機器登錄帳號、用戶網銀帳號、各類管理員帳號
2. 控制企業數據，包括讀取、篡改、添加、刪除企業敏感數據的能力
3. 基于XSS的跨站業務請求(如：非法轉賬、非法下單、非法轉載/發表內容、發送電子郵件、利用管理員身份提權掛馬、控制受害者機器向其它網站發起攻擊等)
4. 形成持久化APT攻擊，長期控制網站業務中樞
5. 利用跨站業務形成蠕蟲病毒式傳播
6. 劫持網站，劫持后可用于釣魚、偽裝、跳轉、掛廣告等，屬掛馬類型

XSS跨站腳本，是一種Web安全漏洞，有趣是是他并不像SQL注入等攻擊手段攻擊服務端，本身對Web服務器沒有危害，攻擊的對象是客戶端，使用瀏覽器訪問這些惡意地址的網民。

實戰環節

打開頁面點擊登陸

登陸完成后點擊設置

點擊后如下：

在理財目標出添加：" onfocus=alert`1` autofocus="true 創建一個聚焦事件

保存后鼠標放到理財目標出就會觸發。

XSS防御

我們是在一個矛盾的世界中，有矛就有盾。只要我們的代碼中不存在漏洞，攻擊者就無從下手，我們要做一個沒有縫的蛋。XSS防御有如下方式。

完善的過濾體系

永遠不相信用戶的輸入。需要對用戶的輸入進行處理，只允許輸入合法的值，其它值一概過濾掉。

Html encode

假如某些情況下，我們不能對用戶數據進行嚴格的過濾，那我們也需要對標簽進行轉換。

基于以上的講解，你明白了Xss了嗎？如還有問題請在評論區留言~