当前位置：首页 > news >正文

xss攻击

news 来源：原创 2025/8/28 4:33:04

XSS 攻击，即跨站脚本攻击（Cross - Site Scripting），是一种常见的 Web 应用程序安全漏洞。以下是关于它的详细介绍：

原理

输入输出控制不严：程序对用户输入和输出处理不当。用户输入的数据没有经过充分的过滤和转义就直接输出到前端页面，浏览器会将这些数据当作有效代码解析执行。如果攻击者精心构造了恶意脚本并成功输入到系统中，就可能导致 XSS 攻击的发生。例如，用户输入<script>alert('XSS')</script>，若网站未对其转义，其他用户浏览包含此输入的页面时，浏览器就会执行该恶意脚本，弹出警告框。

意义（危害）

用户信息安全受损：攻击者可盗取用户帐号，如机器登录帐号、网银帐号、管理员帐号等。还能窃取用户 cookies 资料，获取用户隐私信息，利用用户身份对网站执行操作，如登录用户社交账号发布虚假信息。此外，攻击者也可能获取用户浏览历史、真实 IP、开放端口等信息用于进一步攻击或非法活动。
非法操作与攻击：攻击者可劫持用户会话，执行非法转账操作。还能在被攻击网页中植入恶意代码，当用户访问时自动下载安装木马程序，控制用户计算机。攻击者也可能利用被攻击客户端发起 DDoS 攻击，或进行恶意操作，如篡改页面信息、删除文章等，破坏网站正常运行。

防止方法

输入过滤与输出转义：对用户输入进行严格校验和过滤，使用正则表达式或安全库检查，禁止输入<script>、onclick、onmouseover等可能被浏览器执行的恶意代码，同时根据业务需求进行长度限制、格式验证等操作。在将数据输出到前端页面时，对特殊字符进行转义处理，如将<转义为<，>转义为>，&转义为&等。
多种防御措施结合使用：使用 Web 应用防火墙（WAF）检测和阻止恶意的 HTTP 请求，如 Nginx 使用 Naxsi 搭建 WAF，可防御 XSS、防注入等攻击。实施内容安全策略（CSP），通过发送 CSP 头部告诉浏览器什么是被授权执行的，什么是被禁止的，实质是白名单制度。设置HttpOnly cookies，使得 cookie 不能被 JavaScript 脚本获取，避免攻击者通过获取 cookie 来进行攻击。

详细案例解说及代码

反射型 XSS 案例：攻击者构造恶意链接http://example.com/search?q=<script>alert('XSS')</script>，用户点击该链接后，服务器将search参数中的恶意脚本反射回浏览器，浏览器执行脚本弹出警告框。在后端代码中，如果没有对search参数进行过滤和转义，就会导致反射型 XSS 攻击。例如在 Node.js 中，使用 Express 框架时，如果这样处理请求：

javascript

app.get('/search', (req, res) => {const searchQuery = req.query.q;res.send(`<html><body><h1>Search results for: ${searchQuery}</h1></body></html>`);
});

这段代码直接将用户输入的searchQuery输出到 HTML 页面中，没有进行任何过滤和转义，就存在反射型 XSS 漏洞。

存储型 XSS 案例：以博客网站为例，攻击者在发表文章时，将恶意脚本<script>document.cookie='user=admin;path=/';</script>作为文章内容提交。网站将文章存储到数据库中，当其他用户浏览该文章时，浏览器会执行脚本，将当前用户的cookie设置为user=admin，攻击者就可以利用这个cookie冒充管理员登录。在数据库存储和读取文章的过程中，如果没有对文章内容进行过滤和转义，就会导致存储型 XSS 攻击。比如在使用 MySQL 数据库和 PHP 的情况下，插入文章的代码可能如下：

php

$articleContent = $_POST['articleContent'];
$sql = "INSERT INTO articles (content) VALUES ('$articleContent')";
// 执行SQL语句，将文章内容插入数据库，这里没有对articleContent进行过滤

读取文章并展示的代码可能如下：

php

$sql = "SELECT content FROM articles WHERE id = $articleId";
$result = mysqli_query($conn, $sql);
$row = mysqli_fetch_assoc($result);
$articleContent = $row['content'];
echo "<div>$articleContent</div>";
// 直接将从数据库中读取的文章内容输出到页面，没有进行转义，存在存储型XSS漏洞

DOM 型 XSS 案例：攻击者构造 URLhttp://example.com/page?param=javascript:alert('XSS')，用户访问该 URL 后，页面中的 JavaScript 代码从 URL 中获取param参数并执行。例如以下 HTML 和 JavaScript 代码：

html

<!DOCTYPE html>
<html><body><div id="result"></div><script>var param = location.search.substring(1);document.getElementById('result').innerHTML = param;</script>
</body></html>

这段代码从 URL 中获取参数并直接设置到div元素的innerHTML中，没有对参数进行任何检查和过滤，导致 DOM 型 XSS 攻击。当用户访问带有恶意参数的 URL 时，浏览器会执行恶意脚本。

xss攻击

XSS 攻击，即跨站脚本攻击（Cross - Site Scripting），是一种常见的 Web 应用程序安全漏洞。以下是关于它的详细介绍： 原理输入输出控制不严：程序对用户输入和输出处理不当。用户输入的数据没有经过充分的过…...

编程日记 2025/8/28 4:33:04

Node.js核心模块及Api详解

以下是 Node.js 最常用的核心模块及 API 详解，按使用频率和重要性分类整理： 一、高频核心模块 1. fs 文件系统 const fs require(fs); const fsPromises require(fs).promises; // Promise 版本// 异步读取文件（推荐） fs.read…...

编程日记 2025/8/27 22:35:59

解析keras.layers.Layer中的权重参数

文章目录概要__init__()build()add_weight() 概要 keras.layers.Layers是所有层对象的父类,在keras.layers下所有实现类都是其子类，自定义层时需要继承该类。 init() Layer的构造函数，需要注意两个参数trainable和name trainable：指定该层…...

编程日记 2025/8/24 9:53:54

原型设计工具即时设计的简单使用攻略

即时设计是一款国产在线协同设计工具，支持从原型设计到开发交付的全流程，尤其擅长Web/App界面原型制作。其核心优势体现在： • 零门槛入门：浏览器直接访问无需安装，中文界面友好 • 资源生态完善：内置3000原…...

编程日记 2025/8/23 20:41:41

深入解析C++智能指针：从内存管理到现代编程实践

一、智能指针核心概念 1.1 智能指针的本质智能指针是基于**RAII（资源获取即初始化）**的封装类，通过对象生命周期自动管理动态内存。与传统指针相比： 特性原始指针智能指针内存管理手动自动空指针检查需显式判断支持空状态检测…...

编程日记 2025/8/26 20:15:29

在 Langflow 中构建灵活的自定义组件：从基础到高级实践

本文深入探讨了如何在 Langflow 平台中创建功能丰富的自定义组件。通过详细的目录结构解析、分步实现指南和多个实战案例，帮助开发者掌握利用 Python 生态扩展低代码平台的方法，打造高效的数据处理流程。理解组件架构设计自定义组件是在 Langflow 中创…...

编程日记 2025/8/25 23:24:22

【数学建模】（时间序列模型）ARIMA时间序列模型

ARIMA时间序列模型详解及常见时间序列模型概览文章目录 ARIMA时间序列模型详解及常见时间序列模型概览1 引言2 ARIMA模型的基本概念3 ARIMA模型的组成部分详解3.1 AR模型 (自回归模型)3.2 MA模型 (移动平均模型)3 I (差分) 4 ARIMA模型的建模步骤5 Python实现ARIMA模型6 常见时…...

编程日记 2025/8/24 18:00:35

模版的特性及其编译分离

1.模版的分类模版参数分为类型形参和非类型形参类型形参：出现在模版参数列表中，跟在class和typename之后的参数类型名称非类型形参：就是用一个常量作为类（函数）模版的一个参数，在类（函…...

编程日记 2025/8/25 21:24:42

8电池_多绕组反激式变压器均衡_4模式

(1)8节串联锂离子电池组 (2)多绕组双向反激式变压器，1个变压器解决多电池均衡 (3)亮点：支持1建切换4种均衡算法–>全网唯一 (4)多绕组变压器均衡也能设计多种均衡算法–>全网唯一锂离子电池均衡，均衡拓扑，均衡算法...

编程日记 2025/8/24 1:28:42

6.1 python加载win32或者C#的dll的方法

python很方便的可以加载win32的方法以及C#编写的dll中的方法或者变量，大致过程如下。一.python加载win32的方法，使用win32api 1.安装库win32api pip install win32api 2.加载所需的win32函数并且调用 import win32api win32api.MessageBox(0,"…...

编程日记 2025/8/24 17:01:41

STP学习

{所有内容均来自于西安欧鹏的陈俊老师} STP生成树当二层交换机意外成环路的时候会发生： 1.广播风暴：当广播帧进入环路时，会被不断复制并传输，导致网络中的广播流量急剧增加，消耗大量的网络带宽，降低网络…...

编程日记 2025/8/24 15:18:56

特征值与特征向量：从理论到应用的全面解析

特征值与特征向量：从理论到应用的全面解析一、特征值与特征向量核心概念定义对于方阵 ( A )，若存在标量 ( \lambda ) 和非零向量 ( v )，使得： [ A v \lambda v ] 则 ( \lambda ) 为特征值，( v ) 为对应的特征向…...

编程日记 2025/8/24 2:45:03

【Python】数组的条件逻辑统计运算元素排序

【Python】数组的条件逻辑&统计运算&元素排序： 一.条件逻辑二.统计运算三.数组元素排序检索数组元素是否满足条件查找数组的唯一元素判断元素是否在其他数组中一.条件逻辑 import numpy as np arr_x np.array([1, 5, 7]) arr_y np.array([2, 6, 8]) arr_…...

编程日记 2025/8/24 13:45:37

数据流和重定向

1、数据流不管正确或错误的数据都是默认输出到屏幕上，所以屏幕是混乱的。所以就需要用数据流重定向将这两条数据分开。数据流重定向可以将标准输出和标准错误输出分别传送到其他的文件或设备去标准输入（standard input，简称stdin&#xff…...

编程日记 2025/8/24 9:48:55

Jetpack Compose 自定义组件完全指南

Jetpack Compose 自定义组件完全指南 Compose 的声明式 UI 范式为创建自定义组件提供了前所未有的灵活性。本指南将带你从基础到高级全面掌握 Compose 自定义组件的开发技巧。一、自定义组件基础 1.1 基本结构一个最简单的自定义组件： Composable fun Greeti…...

编程日记 2025/8/28 3:29:13

ETF 场内基金是什么？佣金最低又是多少呢？

嘿，朋友们，大家好啊，我是StockMasterX，今天咱们就坐下来慢慢聊聊这个话题，ETF 场内基金到底是个啥东西，它的佣金最低能到多少，真的是个值得深挖的问题。说起ETF，我还记得刚入行那会…...

编程日记 2025/8/24 21:39:11

【C++篇】类与对象（中篇）解密C++类的核心：六大默认成员函数详解与避坑指南

文章目录前言一、类的六个默认成员函数二、构造函数1. 概念2. 特性（牢记） 三、析构函数1. 概念2. 特性（牢记） 四、拷贝构造函数1. 概念2. 特性（牢记） 五、赋值运算符重载1. 运算符重载2. 赋值运算符重载前…...

编程日记 2025/8/24 20:19:51

001 vue

https://cn.vuejs.org/ 文章目录 v-bindv-modelv-on修饰符条件渲染/控制：v-if v-show列表渲染 M：即Model，模型，包括数据和一些基本操作 V：即View，视图，页面渲染结果 VM：即View-Mode…...

编程日记 2025/8/27 15:29:26

web forms可视化开发显示的网页是用ExpressionWebEditorFrame控件,是IE内核还是简单的HTML解析?如何让他加载CSS和JS?

web forms可视化开发显示的网页是用ExpressionWebEditorFrame控件,是IE内核还是简单的HTML解析?如何让他加载CSS和JS? 1. ExpressionWebEditorFrame 控件的内核及解析机制在 Visual Studio 中用于 Web Forms 可视化开发的 ExpressionWebEditorFrame 控件主要基于 Internet…...

编程日记 2025/8/24 6:35:49

$R^n$超平面约束下的向量列

原向量： x → \overset{\rightarrow}{x} x→ 与 x → \overset{\rightarrow}{x} x→法向相同的法向量（与 x → \overset{\rightarrow}{x} x→同向） ( x → ⋅ n → ∣ n → ∣ 2 ) n → (\frac{\overset{\rightarrow}x\cdot\overset{\righta…...

编程日记 2025/8/26 20:05:08

英伟达新一代GPU架构（50系列显卡）PyTorch兼容性解决方案

随着NVIDIA不断推出基于新架构的GPU产品，机器学习框架需要相应地更新以支持这些硬件。本文记录了在RTX 5070 Ti上运行PyTorch时遇到的CUDA兼容性问题，并详细分析了问题根源及其解决方案，以期为遇到类似情况的开发者提供参考。在Anaconda虚…...

编程日记 2025/8/25 15:27:21

16.2Linux自带的LED灯驱动实验(详细编写)_csdn

这个实验不用自己编写代码。 1、在linux源代码中，打开 stm32mp15-pinctrl.dtsi 文件并进行修改： make uImage LOADADDR0XC2000040 -j8 //编译内核然后： 2、修改设备节点，打开 stm32mp157d-atk.dts： 其中&#xff1…...

编程日记 2025/8/23 20:08:16

Java 大视界 -- Java 大数据在智慧交通停车场智能管理与车位预测中的应用实践（174）

💖亲爱的朋友们，热烈欢迎来到青云交的博客！能与诸位在此相逢，我倍感荣幸。在这飞速更迭的时代，我们都渴望一方心灵净土，而我的博客正是这样温暖的所在。这里为你呈上趣味与实用兼具的知识，也…...

编程日记 2025/8/27 3:18:32

HashMap 底层原理详解

1. 核心数据结构 JDK 1.7 及之前：数组链表 JDK 1.8 及之后：数组链表/红黑树（链表长度 ≥8 时转红黑树，≤6 时退化为链表） // JDK 1.8 的 Node 定义（链表节点） static class Node<K,V&g…...

编程日记 2025/8/24 21:31:10

重生之我是去噪高手——diffusion model

diffusion model是如何运作的？ 想象一下，你有一张清晰的图片。扩散模型的核心思想分为两个过程： 前向过程（Forward Process / Diffusion Process）：逐步加噪反向过程（Reverse Process / Denois…...

编程日记 2025/8/24 0:11:24

FfreeRTOS有阻塞作用的API

在 FreeRTOS 中，阻塞 API 是指那些会导致调用任务进入阻塞状态（Blocked State）的函数，即任务会暂时让出 CPU，直到某个条件满足（如超时、信号量可用、队列数据到达等）。以下是常见的阻塞 API 分类及示例： 1. 任务延迟（延时） vTaskDelay() 使任务阻塞指定的时间（以系统…...

编程日记 2025/8/27 7:01:28

app逆向专题二：app逆向流程

app逆向专题二：app逆向流程一、app逆向说明二、拿到APP应用的apk三、使用工具进行查壳四、有壳需要先进行脱壳，拿到dex文件进行反编译五、使用Jadx-Gui或其他工具进行反编译，分析源码；六、根据app的抓包情况拿到加密的关键词参数…...

编程日记 2025/8/28 0:54:00

VMware 安装 Ubuntu 全流程实战指南：从零搭建到深度优化

在软件开发、系统测试以及技术学习等诸多场景中，使用虚拟机安装操作系统是一种灵活且高效的方式。Ubuntu 作为一款优秀的开源操作系统，在 VMware 虚拟机上的安装与优化备受关注。接下来，将为大家带来 VMware 安装 Ubuntu 的全流程实战指南&am…...

编程日记 2025/8/28 0:54:01

论文阅读笔记——RDT-1B: A DIFFUSION FOUNDATION MODEL FOR BIMANUAL MANIPULATION

RDT-1B 论文模型表达与泛化能力：由于双臂操作中动作空间维度是单臂空间的两倍，传统方法难以建模其多模态分布。数据：双臂数据少且不同机器人的物理结构和动作空间差异（如关节数、运动范围）导致数据分布不一致&#x…...

编程日记 2025/8/24 22:06:41

如何一天背300到500个单词

买一本有结构分析或词源注释的目标词汇书。买一盒口香糖。准备一摞空白的A4纸。找一间用于冥想的黑屋子(眼晴闭上就可以了)。将要背诵的单词进行分组： 5个一小组10个一中组50个一大组100个一个基本包或单元。给自己一个约定，比如背完一中组或一大组单词，嚼一粒口香糖…...

编程日记 2025/8/24 11:29:14

1、下载 OpenSceneGraph 获取源代码您可以通过以下方式获取 OSG 源代码：官网下载：https://github.com/openscenegraph/OpenSceneGraph/releases 使用 git 克隆： git clone https://github.com/openscenegraph/OpenSceneGraph.git 2、下载必要的第三方依赖库依赖库 ht…...

编程日记 2025/8/27 6:19:10

C++ - 头文件基础（常用标准库头文件、自定义头文件、头文件引入方式、防止头文件重复包含机制）

一、头文件在 C 中，头文件（.h）用于函数声明、类定义、宏定义等等在 Visual Studio 中，头文件通常放在头文件目录中，头文件实现通常放在源文件目录中二、常用标准库头文件 1、输入输出 <iostream> 标准输入…...

编程日记 2025/8/27 16:55:49

12款字重国外法国风格复古报纸日历设计衬线英文字体安装包 Claire Font Family

Claire 是一个带有坚固衬线的字体系列。该系列中的几种粗细字体非常适合设置大量连续文本；另一方面，极轻和极重的字体在显示应用中配合使用效果很好。Clair 中的字体具有垂直轴，其设计让人联想到当代报纸字体以及 Century 模型中的十九世纪晚…...

编程日记 2025/8/27 3:16:07

Java 类型转换和泛型原理（JVM 层面）

一、类型转换概念解释： 编译类型：在编译时确定，保存在虚拟机栈的栈帧中的局部变量表中； 运行类型：在运行时确定，由保存在局部变量表中变量指向的堆中对象实例的类型决定（存储在对象头中&…...

编程日记 2025/8/27 17:06:58

ffmpeg基础知识入门

文章目录 📦 1. **容器（Container）**✅ 定义：✅ 举例：✅ 功能： 📶 2. **媒体流（Stream）**✅ 定义：✅ 举例：✅ 流和容器关系： &#x1…...

编程日记 2025/8/27 4:03:17

k8s 1.23升级1.24

0、简介这里只用3台服务器来做一个简单的集群，当前版本是1.23.17目标升级到1.24.17 地址主机名192.168.160.40kuber-master-1192.168.160.41kuber-master-2192.168.160.42kuber-node-1 我这里设置的master2可调度pod，将master2的污点去掉 kubectl de…...

编程日记 2025/8/27 20:00:11

MIPI与DVP接口摄像头：深度解析与应用指南

1、MIPI 1.1 MIPI简介 MIPI是什么？MIPI：mobile industry processor interface移动行业处理器接口。它是一个由Intel、Motorola、Nokia、NXP、Samsung、ST（意法半导体）和TI（德州仪器）等公司发起的开放标准…...

编程日记 2025/8/27 20:55:35

liunx输入法

1安装fcitx5 sudo apt update sudo apt install fcitx fcitx-pinyin 2配置为默认输入法设置-》系统-》区域和语言点击系统弹出语言和支持选择键盘输入法系统 3设置设置 fcitx-configtool 如果没显示需要重启电脑 4配置fcitx 把搜狗输入法放到第一位（点击下面…...

编程日记 2025/8/27 16:16:23

马吕斯定律（Malus‘s Law）

马吕斯定律（Maluss Law）详解马吕斯定律是偏振光学中的基本定律，由法国物理学家**tienne-Louis Malus**于1809年发现，描述了**线偏振光**通过检偏器后的光强变化规律。 2. 实验验证 3. 数学推导 4. 关键应用 5. 特殊情况讨论 …...

编程日记 2025/8/27 10:22:08

大厂算法面试 7 天冲刺：第6天-树与图深度剖析——高频算法面试题 Java 实战

🧠 第6天：树与图深度剖析——高频算法面试题 & Java 实战 📚 一、核心知识概览 Overview 1. 树（Tree） 树是一种非线性数据结构，常见于面试中的二叉树（Binary Tree）、二叉搜索树…...

编程日记 2025/8/27 1:28:04

C语言编译和链接错题

一、错题重现 1.用在switch语句中的关键字不包含哪个？( ) A.continue B.break C.default D.case 2.下面代码的结果是：( ) A.3 B.4 C.随机值 D.5 3.下面那个不是转义字符？ A.\n B.\060 C.\q D.\b 二、错因分析及思考 1.题目看…...

编程日记 2025/8/27 15:55:18

吴恩达深度学习复盘(7)一个简单训练示例

简介本篇简单讲解简单的神经网络训练。通过回顾逻辑回归模型训练，了解神经网络训练的相关内容。比如训练步骤、损失函数、优化算法以及深度学习库的使用，了解训练过程中的相关概念。例子手写数字识别（判断是 0 还是 1）。这是…...

编程日记 2025/8/26 21:17:50

道路坑洼目标检测数据集-665-labelme

文章目录 1.介绍3.标签介绍4.标注工具5.数据集下载 1.介绍目标：从道路图像中检测坑洼； 应用：检测道路地形和坑洼可实现平稳行驶，小型数据集常常用于学习和学术研究； 详细信息： 665 张图、1740个在坑洼处标…...

编程日记 2025/8/27 18:08:04

提升移动端用户体验：解决输入框被软键盘遮挡的有效方法

解决移动端输入框被软键盘覆盖的问题在开发移动端网页时，如果页面包含输入框，则可能会遇到输入框被弹出的软键盘遮挡的问题。为了解决这个问题，我们需要理解两种常见的情况以及相应的解决策略。浏览器未主动聚焦到输入框现代浏览器和移…...

编程日记 2025/8/27 18:04:32

函数极限常见计算方法集锦

本文非常直接，如标题所见就是一个常见的计算方式极限方法的集锦。所以内在逻辑性确实不强，主要通过例题的形式阐述。添项减项当题目出现了交错的形式便可以考虑添项减项。一般而言我们会加一项交错项，减一项交错项。例如出现 A B …...

编程日记 2025/8/27 19:41:26

Tomcat的部署

Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，Tomcat 具有处理HTML页面的功能，它还是一个Servlet和 JSP容器官网:Apache Tomcat - Welco…...

编程日记 2025/8/27 17:01:30

Ubuntu（CentOS、Rockylinux等）快速进入深度学习pytorch环境

这里写自定义目录标题安装进入系统（如Ubuntu22.04）安装anacondapip、conda换源pip换源conda换源安装nvidia安装pytorch环境针对于wsl的优化安装进入系统（如Ubuntu22.04） docker 、 wsl 、双系统、服务器系统推荐 Ubuntu 20…...

编程日记 2025/8/27 4:59:32