常见的 XSS 注入攻击方式 Part.2 2
作者：grace 来源：gracecode.com 发布时间：2008-11-10 12:42:00
标签：xss,注入,攻击,数据,css
接上一期，这里主要考虑 CSS 注入的方式。CSS 注入主要为背景图注入和针对 Exploer 的 CSS Expression 注入。
考虑没有完全将样式过滤的情况，下面的代码即有可能成为攻击代码
<xss style="behavior: url(xss.htc);">
上面的是针对 Exploer 的 htc 注入，htc 可以认为是个脚本。
<div style="background-image: xss.jpg">
谁会知道 xss.jpg 是什么内容呢？不过很多站点统计代码也是使用了这一原理。
<div style="width: expression(alert('xss'));">
<img style="xss:expr/*xss*/ession(alert('xss'))">
exp/*<A style='noxss:noxss("*//*");xss:ex/*xss*//*/*/pression(alert("xss"))'>
针对 Exploer 的 Expression 要保持“淡定”，最好的做法就是过滤 style 属性。
如果没有将注释完全过滤充分，则又会在 Exploer 出现典型的注入漏洞
<!--[if gte IE 4]>
<script>alert('xss');</script>
<![endif]-->
安全性问题，这个时候我反而感谢 Exploer 提供那么多的“机会”。
-- Split --
那么如何预防 XSS 注入？主要还是需要在用户数据过滤方面得考虑周全，在这里不完全总结下几个 Tips
假定所有的用户输入数据都是“ * ”的
弱类型的脚本语言必须保证类型和期望的一致
考虑周全的正则表达式
strip_tags、htmlspecialchars 这类函数很好用
外部的 Javascript 不一定就是可靠的
引号过滤必须要重点注意
除去不必要的 HTML 注释
Exploer 求你放过我吧……
0
投稿猜你喜欢
- 自己参考那个自动生成文章html 写了个自动更新首页html的插件---不应该叫插件，叫做文件！ 呵呵 很简单应用领域：对于向我这样，首页用
一、 VMware简介：VMware是一个虚拟PC的软件，可以在现有的操纵系统上虚拟出一个新的硬件环境，相当于模拟出一台新的PC，以此来实现- 这里之所以是查看下IP ，是我们后面要建一个Centos远程工具Xshell 连接Centos的时候，需要IP地址，所以我们这里先学会查看虚
- 从个人角度来解析下网络广告中产生的广告主，网站主，广告联盟。联盟包括三要素： 广告主、网站主和广告联盟平台。广告主按照网络广告的实际效果（如
- 本文实例讲述了CentOS 6.5平台实现快速部署FTP的方法。分享给大家供大家参考，具体如下：安装vsftpd（这里需要使用YUM，YUM
- Service Unavailable是一种系统的警告提示。如果一个网站的程序占资源太多或者发生太多的错误，系统日志就会提示：“应用程序池
- Ubuntu本身的源使用的是国内的源，下载速度比较慢，不像CentOS一样yum安装的时候对镜像站点进项选择， 所以选择了更换成国内的源。
- 在vmware虚拟机中安装ubuntu下使用vi编辑文件，发现上下左右方向键不能在文本中移动，出现ABCD字符，backspace也不能删除
- IDS是英文“Intrusion Detection Systems”的缩写，中文意思是&l
- 北京时间11月14日上午消息，据国外媒体今日报道，暴雪总裁兼CEO罗伯特·科迪克（Robert A Kotick）在1
- 二、MDaemon设置MDaemon的管理界面很专业，它所提供的选择和设置项目非常多，但是实际上真正需要设置的选项并不是很多。(1)双击任务
- 1．问：Exchange 2000支持单信箱区恢复么？答：Exchange 2000并不支持使用微软工具和产品进行的单信箱区恢复。您可以找到
- 前言最近住所电不稳定，经常突然之间就断电了，虽然我的是笔记本，但是也不一定能挨到来电，这样下去过不了多久笔记本里的SSD就要挂比 的节奏啊。
- 什么是baiduspider?baiduspider是百度搜索引擎的一个自动程序。它的作用是访问互联网上的html网页，建立索引数据库，使用
- 90年代末的网络广告商狂热的推崇条幅广告，他们把大笔的钱投入进来到这些大幅的五彩的广告上，许多网站主也因此实现了在海滩悠闲的吸吮龙舌兰酒的梦
- 11月2日是站长第一次利用西联取款的好日子，但是，还是有部份Google adsense用户在农行取款时，发生姓名出错的问题，如：没有名，只
- 今天，人民网舆情监测室发布2009网络文化热点排行榜，迈克尔·杰克逊引发乐迷怀旧潮、《喜羊羊与灰太狼》、&ld
- 目录简介体系结构ESXI的优点一、什么是vSphere?二、虚拟机的好处三、为什么要使用虚拟机：四、vSphere基础物理架构五、vSphe
- 从事搜索引擎优化的人员都非常清楚，原创性内容对于搜索引擎优化的意义，特别是在08年下半年开始，百度对于网页重复内容的过滤更加严格了，搜索引擎
- Dig简介：Dig是一个在类Unix命令行模式下查询DNS包括NS记录，A记录，MX记录等相关信息的工具。由于一直缺失Dig man pag
